Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

Определение программы

Страницы: 1 2 >
SpyBoy © (2005-07-14 20:41:00)
Как определить, какая программа в данный момент использует файл(file.*)?

Eraser (2005-07-22 00:04:00) [1]
BiN © (22.07.05 00:02) [28]

Тут вариант один - во все процессы )

SpyBoy ©

Скачай несколько антикейлогеров и посмотри как они работают, с пом. отладчика например. Скорее всего там применён какой-то эврестический алгоритм.
+ известные мне антикейлогеры "дружат" с KMD.

BiN (2005-07-22 00:02:00) [2]
Eraser © (21.07.05 23:52) [27]

ИМХО проще внедриться в процесс и отлавливать CreateFile вызовы.

-)) А куда внедряться-то будешь? Внедренцы, блин -)

Eraser (2005-07-21 23:52:00) [3]
SpyBoy © (21.07.05 23:24) [23]

Проблема в том, что файл скорее всего не всё время занят кейлогером, а только на долю секунды, когда нужно записать нужную инфу... информация о пути к файлу может быть зашифрована, и расшифровываться локально (внутри функции) только на очень короткий промежуток времени. ИМХО проще внедриться в процесс и отлавливать CreateFile вызовы.

BiN (2005-07-21 23:51:00) [4]
SpyBoy © (21.07.05 23:24) [23]

Что происходит, когда троянец записывает в файл клавишу,по-моему ,он открывает файл (использует),то есть в ОЗУ будет имя лог-файла.Тогда, как просмотреть все содержимое ОЗУ и вытащить оттуда имя *.exe-файла гадкого троянца?

Эта, ты бы лучше антивирус+брэндмауэр поставил, и не смешил бы людей. Без обид.

alpet (2005-07-21 23:49:00) [5]
И могу тебя уверить - логгер вполне может работать так что имя файла в памяти ты не обнаружишь - его вполне можно и рандомно генерить, или дешифровывать перед созданием лог-файла.

alpet (2005-07-21 23:47:00) [6]
Ну уж нет, давай-ка поближе к реальности.
Допустим наш троянец представляет собой код, внедрившийся после запуска, скажем в один из сервисов или процессов (в худшем случае, в драйвер клавиатуры, но такое к счастью редко). То есть наличие файла gadkiy_trojan.exe, равно как и строки такой в физической памтяти исключается. Далее - текст подбираемый с клавиатурного ввода (иногда и с текстового буфера обмена) предварительно шифруется (редко когда упаковывается) и аккуратно (скажем раз в минуту, иногда можно встретить монстра который дожидается повышенной активности жесткого диска) полученное дело пишет в файл (может и в проекцию, но это имхо подозрительнее, хотя и менее уловимо) с невзрачным названием типа ascreply.tmp. Налицо типичная работа программы с временным файлом - такие сотнями создаются и живут сейчас в различных папках (например \Documents and Settings\UserProfile\Application Data).

Попробуй разобраться с набором бессмысленных шифрованных данных в этом файле и уличить после этого скажем explorer.exe в шпионаже.
А ведь некоторые логгеры могут и по сети пароль отослать.

SpyBoy (2005-07-21 23:24:00) [7]
Что ж попытаюсь представить:
Что происходит, когда троянец записывает в файл клавишу,по-моему ,он открывает файл (использует),то есть в ОЗУ будет имя лог-файла.Тогда, как просмотреть все содержимое ОЗУ и вытащить оттуда имя *.exe-файла гадкого троянца?

alpet (2005-07-21 12:52:00) [8]
SpyBoy © (21.07.05 12:15) [21]

Может и хватит, но перехватом я еще не занимался. Другое дело что потратив кучу времени на создание файлового монитора, ты не на шаг не приблизишся к решению сложившейся задачи. У тебя основная ошибка содержится в постановке задачи - хочешь создать безупречную защиту не представляя себе картину в целом.

SpyBoy (2005-07-21 12:15:00) [9]
А у тебя хватит? Поделись.

alpet (2005-07-21 11:34:00) [10]
SpyBoy © (20.07.05 20:04) [19]
Похоже ты не совсем даже понял о чем я. Написать виртуальную клавиатуру надо отнюдь не для эмуляции обычной - она должна передавать "нажатые" клавиши напрямую в систему проверки пароля, без всякой там эмуляции, можно даже пароля или его хэша целиком.

А приложение ты не отловишь - опыта не хватает.

SpyBoy (2005-07-20 20:04:00) [11]
alpet © (18.07.05 12:32) [17]
Ведь если писать виртуальную клаву, то прмдется эмулировать нажатия клавишь, а значит кейлоггер их запишет.
КАК ОТЛОВИТЬ это приложение ???!!!!Кто-нибудь, подскажте!

P.S.Дети Ивана Кулибина,где вы?

SammIk (2005-07-18 21:11:00) [12]

> BiN © (15.07.05 00:25) [8]

Не реально так отловить, увы(
Точнее, шанс стремится к нулю)

alpet (2005-07-18 12:32:00) [13]
SpyBoy © (17.07.05 19:42) [16]
Я предлагаю ознакомится с представленной тобой задачей поближе. Это поможет прийти к пониманию, что мониторинг файлов практически бесполезен в данном случае. Лучше напиши виртуальную клавиатуру, для ввода пароля мышью :)

SpyBoy (2005-07-17 19:42:00) [14]
alpet © (16.07.05 13:50) [15]
А ты что, предлагаешь собирать пароль по буквам(копировать-вставить)и хранить пароль в тексовом файле ?

З.Ы. Приложение можно определить, если эмулировать нажатия клавиш и оценивать размер потребляемой всеми процессами памяти(но это если проц не скрытый, а если он вклинился в другой процесс(DLL-injecting)-что тогда?)

alpet (2005-07-16 13:50:00) [15]
Реальнее всего отключить клавиатуру и/или сеть от компьютера. Подход к проблеме борьбы с кейлоггерами (которые вполне могут отправлять лог куда-нибудь, вместо его сохранения в файл) вобщем выбран неверный в принципе.

SpyBoy (2005-07-15 19:48:00) [16]
А какую-нибудь ловушку поставить нереально ?

dmitry501 (2005-07-15 09:33:00) [17]
Ах, да, еще можно достать Руссиновича насчет исходников FileMonitor'a -- но, предполагаю, что автору вопроса это будет неинтересно.
Вроде, встречал утверждение, что можно использовать драйвер от FileMon'a в Delphi как раз для таких целей, и на sysinternals'е есть исходники примера.

BiN (2005-07-15 09:24:00) [18]
Германн © (15.07.05 01:18) [9]

В переводе на русский - "В общем-то решаемо, но только на NT-системах и с очень большим геморроем!"

Ты проктолог? -)
Если нет, то наверно знаешь лучшее решение?

evvcom (2005-07-15 08:40:00) [19]

> чуть не попал под Камаз, едучи пьяным на велосипеде

Ну,.. аккуратнее надо быть...

Просто Джо (2005-07-15 03:25:00) [20]
Исходя из SpyBoy © (14.07.05 21:17) [6] задача сузилась до обозримых пределов. Ищем некий кейлоггер, записывающий следы своей пакостной активности в заранее известный файл.
Предположу следующее:
1. Раз уж автор топика нашел (но нам не сказал) имя лог-файла, то, возможно (и это с весьма высокой долей вероятности можно предположить) автор вопроса знает и имя файла сего злощастного трояна. Следовательно, задача сводится к банальному Find*.
2. Имя лога зашито в искомом исполимом файлк без шифровки -- опять же Find* и в каждом файле, похожем на исполнимом ищем строку.
3. То же, что и (2), но имя лог-файла зашифровано. Пытаемся (предварительно помолившись) сдвигать содержимое файла shr,shl ну, тут проблем не будет, или xor (ох, мать моя) - ну хотя бы по пару недель каждый файл с обозримой длиной ключа.
4. Дождаться выхода обновления антивирусов.

Я (как исключительно ленивый человек), голосую 4-мя конечностями за (4).

Ах, да, еще можно достать Руссиновича насчет исходников FileMonitor'a -- но, предполагаю, что автору вопроса это будет неинтересно.

П.С. Просьба не пинать за развязный тон -- только что (а в Киеве 2 часа ночи) чуть не попал под Камаз, едучи пьяным на велосипеде :-)

Страницы: 1 2 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »