Процесс без ехе-шника

[tyomitch]

Кому не терпелость создать сабж? ANDLL, кажется?
В общем, похоже что всё возможно
Я тут пять часов поковырялся, потом надоело и я бросил. Может кто более усидчивый добьёт.

Основной инструмент: http://shelek.tmf.ru/archive/books/Win2 ... f/book.pdf - справочник по Native API. Внимательно изучается пример 6.2 (стр. 165) и вносятся необходимые коррективы.

Но всё не так просто: если нет ехе-шника, то всю "загрузку" программы (например, разрешение импортов) придётся делать самому. Зато перспективы какие открываются - просто жуть.
Никому не интересно?

[GSerg]

Писать самому загрузчик? Ну как тебе сказать
Ща я тебе ссылку дам на то, как загрузчик импорты разрешает

А может и не дам
http://www.microsoft.com/rus/msdn/magaz ... s_2000.asp

Если найдёшь-таки эту статью, хорошо
У меня она в бумажном виде.


Нашёл
http://msdn.microsoft.com/msdnmag/issue ... fault.aspx

[GM]

Эх, а я когда-то пробовал сделать это через именованые каналы. Жаль ничего не получилось, зато каналы получились. Надо было MSDN читать перед тем как что-то делать.

[tyomitch]

Угу, я посмотрел - CreateProcess проверяет переданный путь, и выдаёт ошибку, если это не файл, а что-то другое (труба и т.д.)

[GM]

И еще я смотрел, нельзя определить размер трубы, вот.

[xenomorph]

Есть альтернативный вариант:

1. Ексешник записать в именованый поток данных в NTSF.
2. Запустить на выполнение из потока.
3. Стререть файл носитель.
--
Вуаля. Файл будет работать БЕЗ физического носителя.

Фишка называеятся "Файл-призрак".
Работает только один раз по запуску, и естественно только на NTSF FS.

KeyWords для копания если интересно:
NTFS www.xakep.r DigitalScream ZeroIce Alternate Alternative Data Streams ADS

[Antonariy]

Code Red так работает, если не ошибаюсь.

[xenomorph]

Зато перспективы какие открываются - просто жуть.

Эээ ... можно поконкретнее? Какая с этого польза?

[Sebas]

так он, по-мойму, виден то будет всё равно(((

[tyomitch]

Зато перспективы какие открываются - просто жуть.

Эээ ... можно поконкретнее? Какая с этого польза?

Ну как: не нужно NTFS, не нужно права на запись на диск, вообще быстрее и эффективнее всё работает, т.к. нет обращения к диску.

[BV]

Тааак... Теперь хакерский вопрос - можно ли задать такому hInst несуществующий путь к ЕХЕ, а?

[tyomitch]

Да можно, можно.
А зачем тебе? Маскироваться? Так это и "обычному" процессу можно поменять на что хошь.

[BV]

Подожди... как сменить путь?

[tyomitch]

Ну найти, где он хранится, и поменять
NtQueryInformationProcess -> PROCESS_BASIC_INFORMATION -> PEB -> RTL_USER_PROCESS_PARAMETERS -> ImagePathName, я думаю. Но я не проверял.

[xenomorph]

2 FleX_2004 - я тебе личное направил.