Вживление VB-кода в другие процессы

[Twister]

Гм... Что-то действительно WASM.RU загнулся на время (надеюсь что только на время). Я хотел дать линки и облом... У меня есть оффлайн версия тамошних статей, так что если кому интересно про обход OutPost-а могу процитировать ms-rem-а.

ms-rem?.. Этот тот, ошибки в мыслях которого tyomitch неоднократно находил?..

Видишь ли, человеку свойственно иногда ошибаться. Но я вынужден согласиться с ANDLL - чувак действительно шарящий.

[tyomitch]

Кстати WriteProcessMemory(точнее его kernel-mode аналог) таки перехватывается, но если объём данных меньше 16 байт, то outpost на неё не обращает внимания, думая, что вызов системный.

Гм. Ну пусть тогда ANDLL, у которого есть свежий Outpost, проверит мой код, урезав строки до 16 байт

ANDLL проверил. Если писать кусками по 16 байт, никто ничего не замечает.

[gaidar]

Правда, что самое интересное, можно легко настроить правила на те процессы, которым можно писать, а которым нет, поэтому странно, что ребята сделали такое ограничение. Возможно, что есть ограничение в системных API, используемых самим Outpost. Никто не копался?

[ANDLL]

Вероятно ограничение заключается в
[quote=tyomitch]
Например потому, что WriteProcessMemory используется некоторыми системными функциями.
[/quote]

[gaidar]

Я говорю об ограничениях системных API, а не Outpost'а.

[ANDLL]

Гайдар, я не понял, как ты предлагаеш outpost'у определять, кто производит запись системная функция или моя?

[gaidar]

В смысле? Какая проблема проверить вызов API функций?

[ANDLL]

Какая проблема проверить вызов API функций

То есть ты предлагаеш outpost'у проверять кто вызвал функцию WriteProces..., и если это сделала система разрешать, иначе, запрещать доступ в инет?

[tyomitch]

В смысле? Какая проблема проверить вызов API функций?

И как это, интересно, можно проверить? по адресу возврата?

[gaidar]

Теоретически это не проблема, другое дело, что производительность системы с "тотальной слежной" будет значительно меньше...

[tyomitch]

Теоретически это проблема.
См. http://blogs.msdn.com/oldnewthing/archi ... 04232.aspx

[gaidar]

Теоретически это проблема.
См. http://blogs.msdn.com/oldnewthing/archi ... 04232.aspx

Soft Ice?

[tyomitch]

что софтайс?

[gaidar]

что софтайс?

Отслеживать тем же образом. Если покопать, то можно придумать механизм и проще... Например, по имени/ID вызывающего процесса и т.п.

[tyomitch]

По имени процесса никак не узнать, функция вызвана системой или пользователем.

Что именно отслеживает софтайс (и тем более, как именно он это делает) -- я не в курсе.

[gaidar]

По имени процесса никак не узнать, функция вызвана системой или пользователем.

Можно определить степень доверительности процесса a la механизмы безопасности в .NET. Только в .NET у нас код управляемый, поэтому нужно будет как-то снабжать нативный код метаданными.

Что именно отслеживает софтайс (и тем более, как именно он это делает) -- я не в курсе.

Я тоже, но он как-то это делает - выбиряя только нужное приложение.

В любом случае, мы обсуждаем не то, что можно и нужно, а то, что в принципе можно, но никому не нужно.

[tyomitch]

По имени процесса никак не узнать, функция вызвана системой или пользователем.

Можно определить степень доверительности процесса a la механизмы безопасности в .NET. Только в .NET у нас код управляемый, поэтому нужно будет как-то снабжать нативный код метаданными.

О том и речь, что по нативному коду внутри одного процесса никак не понять, откуда он взялся -- из системы, из проги, или случайно сам собой. Либо весь процесс "доверенный", либо весь блокируется.

[gaidar]

Ну да, ну да...

Ладно, надеюсь, что ни тебе, ни мне никогда не придется реализовывать такую штуку . Хотя мало ли, что бывает.

И вообще, приезжал бы ты в Москву на пару дней как-нибудь все-таки, а?

[tyomitch]

Если ничего не расстроится (оно легко может), то в конце октября я окажусь на этой конференции.

[gaidar]

Круто, только не забудь послать весточку, пожалуйста.

[Lumen]

У меня такой вопрос: в OLE View открыл скомпиленную библу, какие значения надо сохранять, чтобы потом использовать:
Вот текст из OLE View. Ничего похожего на IID и CLSID я не нашёл.

Код: Выделить всё

// Generated .IDL file (by the OLE/COM Object Viewer)
//
// typelib filename: Project1.dll

[
  uuid(CD0E8058-C3E5-4A7B-9B81-089B8ADB0086),
  version(2.0)
]
library ProjectXent
{
    // TLib :     // TLib : OLE Automation : {00020430-0000-0000-C000-000000000046}
    importlib("stdole2.tlb");

    // Forward declare all types defined in this typelib
    interface _Class1;

    [
      odl,
      uuid(B6306DEB-9CD8-4F3B-9DCC-55E64B75EB8B),
      version(1.0),
      hidden,
      dual,
      nonextensible,
      oleautomation
    ]
    interface _Class1 : IDispatch {
        [id(0x60030000)]
        HRESULT Main();
    };

    [
      uuid(BC220BF2-AAF8-41B2-8A55-6DE71AF838D0),
      version(1.0)
    ]
    coclass Class1 {
        [default] interface _Class1;
    };
};


Подскажите, пожалуста, что надо взять...

[GSerg]

То есть даже глядя на приведённый в статье код, ты не видишь, где IID и CLSID?

[Lumen]

GSerg
В статье написано два значения, выделенных цветными маркерами, выделенного я там не нашёл. Может я просто торможу...
ну помогите, пожалуйста, просто никогда с таким не приходилось встречаться, вот и торможу...

[GSerg]

Повторю вопрос.
Глядя на код статьи (на ВЕСЬ), ты не понимаешь, где эти значения?

И почему ты решил использовать то, что не понимаешь? Может разобраться сначала? Или сразу охота писать что-то вредительское, пусть и копипастом?

[Lumen]

C какой стати сразу вредительское?
Вам лишь бы опустить человека...
Ну нету там ничего, выделенного маркёрами. Не знаю я что такое IID и CLSID...
А хотя чё я тут распинаюсь, не хотите подсказывать, не надо. Тоже мне умные нашлись. Отвечать на мой вопрос (это на случай, если кто всё-таки надумает, что врядли) не надо. Просто ОРГОМНОЕ спасибо за оказанный радушный приём внимание, а также за "помощь".

PS: Умеете вы, ребята, в трудную минуту "поддержать"...

[ANDLL]

Я просил Гайдара сделать подсветку раз 10, но тщетно.
В этом коде
CLSID:BC220BF2-AAF8-41B2-8A55-6DE71AF838D0
IID:B6306DEB-9CD8-4F3B-9DCC-55E64B75EB8B

[Lumen]

ANDLL
Спасибо огромное за помощь и ещё более огромный респект за статью.

[Lumen]

ANDLL
Спасибо огромное за помощь и ещё более огромный респект за статью!

[gaidar]

Я просил Гайдара сделать подсветку раз 10, но тщетно.
В этом коде
CLSID:BC220BF2-AAF8-41B2-8A55-6DE71AF838D0
IID:B6306DEB-9CD8-4F3B-9DCC-55E64B75EB8B

Кстати, если в браузере нажать Ctrl + F5, и присмотреться, то можно ответить, что эти значения уже почти месяц как красные