Вживление VB-кода в другие процессы

[tyomitch]

Возможно отследить такое вжевление, ну тоесть определить то что оно произошло - можно(Outpost детектит)

Только в случае подгрузки своей длл-ки (как в случае с хуками и примере ANDLL)
Если код засовывать по VirtualAllocEx+WriteProcessMemory, как в примере с часиками в трее, никто ничего не просечёт.

[ANDLL]

Если код засовывать по VirtualAllocEx+WriteProcessMemory

Кажеться, Outpost отслеживает именно WriteProcessMemory... И пишет, что память процесса была изменена...

[VERITAS]

Я про это и говорил. Главное - чтобы нельзя было определить что конкретно внедренно и что "оно" то самое внедренное изменяет.

А по поводу Outpost - то программа рулез, такие вещи делают ребята в программе, что любому программеру хотелось бы найти исходники

tyomitch - поделись всоим ассемблером, я уже стоко их перекачал и tasm32 и masm32 и fasm, и nasm - ниодна из них не воспринимает "or" а некоторые вообще не хотят компилить ??

[VERITAS]

ANDLL по поводу твоего совета, использовать функцию ExitProcess ничего не вышло, после внедрения кода - "инфицированная" программа просто слетала с "рельс" (хотя может из за моих "кривых" рук). А вот через Open\Terminate Process все работает как надо.

И опять же по поводу безопастности и конфиденциальности (просто если внедрение не совершится - то весь мой проект накроется "медным тазом"), :
(1) Возможно ли сторонне восприпятствовать моему внедрению (например, через какую-то программу заблокировать доступ к процессу) ? И как можно удостовериться что внедрение произошло успешно ?
(2) Какие права в системе должен иметь юзверь, чтобы все из статьи ANDLL'a - работало?

[ANDLL]

ANDLL по поводу твоего совета, использовать функцию ExitProcess ничего не вышло, после внедрения кода - "инфицированная" программа просто слетала с "рельс" (хотя может из за моих "кривых" рук).

Именно по этому.

Возможно ли сторонне восприпятствовать моему внедрению (например, через какую-то программу заблокировать доступ к процессу) ?

Разумеется. Перехватить WriteProcessMemory.

И как можно удостовериться что внедрение произошло успешно ?

Пусть внедренный код чтонибудь делает... Скажем, начиная от переключения светофора, и заканчивая создание\удалением какого нибудь "секретного" файла.

Какие права в системе должен иметь юзверь, чтобы все из статьи ANDLL'a - работало?

Смотря к кому желаем присоединится. Если к процессу того же пользователя, то никакаие. Если к процессу другого пользователя, то почти наверняка нужны права администратора или типа того....

[tyomitch]

Если код засовывать по VirtualAllocEx+WriteProcessMemory

Кажеться, Outpost отслеживает именно WriteProcessMemory... И пишет, что память процесса была изменена...

Очень сильно сомневаюсь. Например потому, что WriteProcessMemory используется некоторыми системными функциями.

Вот сейчас проверю, и если окажется что ты неправ -- сильно обижусь

[tyomitch]

Как я и предполагал, Outpost не отслеживает WriteProcessMemory. ANDLL -- стыд и позор за некомпетентность.


Код для проверки:

Код: Выделить всё

Option Explicit

Private Declare Function CreateRemoteThread Lib "kernel32" (ByVal hProcess As Long, lpThreadAttributes As Any, ByVal dwStackSize As Long, ByVal lpStartAddress As Long, ByRef lpParameter As Any, ByVal dwCreationFlags As Long, ByRef lpThreadId As Long) As Long
Private Declare Function GetModuleHandle Lib "kernel32" Alias "GetModuleHandleA" (ByVal lpModuleName As String) As Long
Private Declare Function GetProcAddress Lib "kernel32" (ByVal hModule As Long, ByVal lpProcName As String) As Long
Private Declare Function VirtualAllocEx Lib "kernel32" (ByVal hProcess As Long, ByVal lpAddress As Long, ByRef dwSize As Long, ByVal flAllocationType As Long, ByVal flProtect As Long) As Long
Private Declare Function WriteProcessMemory Lib "kernel32" (ByVal hProcess As Long, ByVal lpBaseAddress As Long, ByRef lpBuffer As Any, ByVal nSize As Long, ByRef lpNumberOfBytesWritten As Long) As Long
Private Declare Function OpenProcess Lib "kernel32.dll" (ByVal dwDesiredAccess As Long, ByVal bInheritHandle As Long, ByVal dwProcessId As Long) As Long
Private Const PROCESS_ALL_ACCESS = &HF0FFF
Private Const MEM_COMMIT = &H1000
Private Const MEM_RESERVE = &H2000
Private Const PAGE_EXECUTE_READWRITE = &H40

Sub Main()
Dim hProcess As Long, pMemory As Long
hProcess = OpenProcess(PROCESS_ALL_ACCESS, 0, 2564) 'подставить нужный PID
pMemory = VirtualAllocEx(hProcess, 0, 1024, MEM_RESERVE Or MEM_COMMIT, PAGE_EXECUTE_READWRITE)
WriteProcessMemory hProcess, pMemory + 0, &H6A5A58, 4, 0
WriteProcessMemory hProcess, pMemory + 4, &H68, 1, 0
WriteProcessMemory hProcess, pMemory + 5, pMemory + 20, 4, 0
WriteProcessMemory hProcess, pMemory + 9, &H68, 1, 0
WriteProcessMemory hProcess, pMemory + 10, pMemory + 50, 4, 0
WriteProcessMemory hProcess, pMemory + 14, &HFF50006A, 4, 0
WriteProcessMemory hProcess, pMemory + 18, &HE2, 1, 0
WriteProcessMemory hProcess, pMemory + 20, ByVal "Hello from the remote thread!", 30, 0
WriteProcessMemory hProcess, pMemory + 50, ByVal "Now see if the Outpost can notice this intrusion.", 50, 0
CreateRemoteThread hProcess, ByVal 0&, 0, pMemory, ByVal GetProcAddress(GetModuleHandle("user32"), "MessageBoxA"), 0, 0
End Sub


Тестировалось с версией 2.1.292.3816 (307)
У кого есть новее, можете проверить сами.

[ANDLL]

У меня 2.7.485.5401 (412).

Тестировалось с версией 2.1.292.3816 (307)

А тот процесс, в который вшивался файл вообще как то у Outpost отмечен был?

[tyomitch]

Ну, значит я отстал от жизни

[ANDLL]

стыд и позор?

[tyomitch]

Ага.

[ANDLL]

А мой "стыд и позор" аннулируется?

[tyomitch]

Может, мне ещё прислать фотографию себя, кусающего локти?

[ANDLL]

И это то же....

[VERITAS]

ФЛУД !!!

Появился такой вопрос по поводу Oupost (ANDLL как я понял у тебя он стоит) - если "убить" процесс Outpost - то блокируется доступ в сеть, т.е. если завершить Outpost через TerminateProcess то он делает блокировку сети. Или же это вовсе не он а брандмауэр Windows.
Если это брандмауэр - то как сделать его сброс - чтобы он обновился ?

Заметка: ведь в XP при отключение сторонних защит и при выключенном встроенном брандмауэре в трее появляется значок Оповещения системы безопастности. Так вот, если, закрыть Outpost "нормальным способом" - то значок появляется, а вот если убить процесс - то значка нет в трее !!! Это значит что полюбому это как то связано !

[Ramzes]

VERITAS

Предлагаю тебе угадать с 3 попыток

[VERITAS]

Да если бы я угадал - я б не спрашивал. Это дело такое "эники беники ели варенники ..."

[Ramzes]

Предлагаю тебе тогда провести небольшой опыт
Открываешь 6 Бейсик, создаешь проэкт "Standart EXE" и коде формы пишешь

Код: Выделить всё

Private Sub Form_Unload(Cancel As Integer)
MsgBox "Я умираю"
End Sub

Запускаешь приложение
Закрываешь
Запускаешь
Убиваешь процесс
Делаешь вывод (угадываешь)

[VERITAS]

Ramzes нашел чем удивить Какое открытие

По делу: Дак я не про то твержу - ведь Outpost пока работает - дает доступ к сети - т.е. пока он весит - доступ есть, а вот если его убить - доступа нет. Здесь может быть два объяснения: 1) То что во время работы Outpost - запрещен доступ к сети. При запуске какого-то процесса - проверяются права этого проесса - а затем уже он решает разрешить или нет этому процессу работать с сетью. 2) Что-то похожее на "вжевление кода". Может быть он внедряет в какой нибудь процесс свой код (по принципу статьи) - и если вы убиваете Outpost - происходит блокировка сети - а такое в принципе возможно (чем программист не шутит).

Ну и как тут угадать ?? А может действует и то и другое - я к сожалению незнаком с принципом работы Outpost - может ты знаешь ?

Меня однако интересует отнюдь не принцип - а как это обойти, или как с этим бороться. Можно ли как то заново открыть доступ в сеть, к примеру перезапустив службу (Service) ?

Да и можно ли как то определять - имеет доступ пользователь к какой нибудь WINIP функции ( вообще его права ) ? Смотрел по поиску посты, в которых обсуждалось как получить права текущего пользователя - но ничего удовлетворительного не нашел

[alibek]

У оутпоста есть ядро, которое разграничивает доступ, и есть GUI, который управляет этим ядром. Прибиваешь ты GUI.

[VERITAS]

Тогда как убить ядро ? Или как убить GUI - с последующим (по нити) убиением ядра ?

[alibek]

Убъешь ядро и сети вообще не будет.

[keks-n]

VERITAS
Ядро в kernel mode, так что ты его не убьёшь. На www.wasm.ru была статья, описывающая, как обмануть outpost (ссылку дать не могу, ибо сайт сейчас не работает Но написал её, если не ошибаюсь Ms-Rem, и название связано с инжектингом). Кстати WriteProcessMemory(точнее его kernel-mode аналог) таки перехватывается, но если объём данных меньше 16 байт, то outpost на неё не обращает внимания, думая, что вызов системный.

[VERITAS]

Вот теперь все прояснилось и прицип работы Outpost и как мне быть. Спасибо за разъяснения - выход один - оставить великий Outpost в покое - и обходить его стороной. Я еще раз убедился, что Outpost - очень замечательное творение !

Что же буду исключать его из проверки и не троогать, сверяя размер outpost.exe с default size - ибо другого выхода невижу.

[GSerg]

ms-rem?.. Этот тот, ошибки в мыслях которого tyomitch неоднократно находил?..

[tyomitch]

Кстати WriteProcessMemory(точнее его kernel-mode аналог) таки перехватывается, но если объём данных меньше 16 байт, то outpost на неё не обращает внимания, думая, что вызов системный.

Гм. Ну пусть тогда ANDLL, у которого есть свежий Outpost, проверит мой код, урезав строки до 16 байт

[ANDLL]

ms-rem?.. Этот тот, ошибки в мыслях которого tyomitch неоднократно находил?..

ХОть мое мнение никого и не интересует, но чувак сильно шарящий... Хотя бы если сулить по его статьям.

[ANDLL]

ms-rem?.. Этот тот, ошибки в мыслях которого tyomitch неоднократно находил?..

ХОть мое мнение никого и не интересует, но чувак сильно шарящий... Хотя бы если судить по его статьям.

[gaidar]

У меня Outpost на такое ругается, говорит, что-то вроде "процесс ай-ай-ай хочет изменить чужую память ай-ай-ай"

[tyomitch]

gaidar, а у тебя версия какая?