Перехват функций работы с реестром

[Maitris]

Приветствую,
ищу информацию по чему-либо, позволяющему перехватывать обращения к реестру, для фильтрации определенных ключей, как, по-моему, поступают некоторые современные протекторы лицензий. Цель - сокрытие определенных ключей, например для банального "однократного" показа документа.

[Хакер]

Maitris
Глобальный или локальный перехват интересует?

[Maitris]

локальный. Подошла бы даже наверное установка запрета на чтение для определенных пользователей, но мне нужно скрыть скорее значения, чем непосредственно ключ.

Добавлено: вот например, цитата об одной из программ:

Технология Rootkit Скрывает следующее:
– Собственные файлы
– Собственный ключ реестра


Используемый метод:
• Невидимый из Windows API

Потом, попробуйте удалить ключ сервиса Outpost Firewall. Разрешения стоят Full Control, ан нет, не получится так просто. Как они это делают (перехват)?

[Хакер]

Maitris
Локальный - это когда перехватываются вызовы функции, сделанные из своего процесса.

[Maitris]

Хакер
Не, нафиг мне из своего процесса ))) Тогда глобальный )

[Me!]

ну тогда нужно немного изучить понятия и почитать, например, "Руссинович М. Соломон Д. Внутреннее устройство Microsoft Windows Server 2003, Windows XP, Windows 2000"

[Maitris]

Me!
гы, причем тут "внутреннее устройство Windows"? Меня интересует практически применимая информация.

Предположительно, загружается драйвер, который хукает какие-то функции Api. Знаю, что аналогичный эффект достигался в программе написаной на Delphi - так что видимо тут не нужно глубокое знание ассемблера или же операционной системы в целом.... Должно быть не слишком тривиальное решение

[Хакер]

Maitris

Открываешь процесс, который тебе нужно перехватить, получаешь права на запись в него. Юзая VirtualAllocEx, записываешь в чужой процесс свой код. Запускаешь в контексте чужого процесса новый поток (с помощью CreateRemoteThread, - передавая в качестве одного из аргументов (3-ий или 4-ый - не помню точно) адрес точки входа кода нового потока (т.е. это должен быть адрес, по которому ты записал свой код, адрес, который вернула VirtualAllocEx.) ).

Твой код теперь получился вживлённым в чужок процесс. Этот код должен получить hModule модуля advapi32. Юзая GetProcAddress, получаешь адреса функций, которые нужно перехватить. Меняешь атрибут страницы памяти, по котроым расположены эти функции так, чтобы в них можно было писать (устанавливай максимальный уровень доступа! т.е. - RWX, иначе может произойти так, что выполнение главного потока попадёт в non-executable страницу памяти, что приведёт к GPF). В самое начало фунции записываешь команду, совершающую прыжок на твой код, который и должен будет обрабатывать перехват функции и, к примеру, подменивать параметры.

Проблема тут может возникнуть в том, что команда перехода затрёт оригинальный код функции (в начале функций может валяться mov edi, edi - тогда ситуация несколько лучше). Я не знаю решения этой проблемы кроме как переноса кода функции (до её модификации) в другое место. Но при этом, потребуется фиксить все те места функции, где используется абсолютная адресация. В этом тебе поможет секция релокации.

Ну, это так, в общих словах

[Me!]

[offtop]

Меня интересует практически применимая информация.

практика без теории называется копипастинг
[/offtop]

[dr.MIG]

Если надо следить за изменениями определённого ключа, то это можно реализовать через WMI.

[Maitris]

Хакер
Такая активность, которую ты упомянул (инъекция кода в чужой процесс), непременно привлечет интерес антивирусных программ, что категорически неприемлемо. Это ведь не вирус, а очередная попытка защитить хранимые данные/параметры.

Добавлено: всю ту информацию о недрах windows, что твоя голова насобирала за несколько лет, ты вылил как ведро помоев на либеральное сообщество форумчан.... Вот
Me!
lol
dr.MIG
Уточни

[Хакер]

Maitris
Антивирусные программы - фтопку.

Вон, Spy++ же внедряется во все процессы...

А другого варианта (ну, возможно вариант с WMI всё же существует, но я о нём не знаю) не существует.

[ANDLL]

практика без теории называется копипастинг

Точно

[Хакер]

Добавлено: всю ту информацию о недрах windows, что твоя голова насобирала за несколько лет, ты вылил как ведро помоев на либеральное сообщество форумчан.... Вот

Кто? Я?

[Me!]

Maitris

всю ту информацию о недрах windows, что твоя голова насобирала за несколько лет, ты вылил как ведро помоев на либеральное сообщество форумчан

если тебе эта инфа показалась помоями, то сложно назвать тебя программером, ибо программер обязан знать устройство системы для которой он пишет

[ANDLL]

активность, которую ты упомянул (инъекция кода в чужой процесс), непременно привлечет интерес антивирусных программ, что категорически неприемлемо

Даже обсуждалось ,чт0 писать по 4 байта - и никто ничего не скажет....

[Хакер]

ANDLL
Что правда? Где обсуждалось?

[ANDLL]

То что я говорил, обсуждалось гдето тут

[Maitris]

Хакер
ну ребята, у вас с чуством юмора............... кх-кх

На самом же деле интересный док получился, только плохо структурированный.

что-ж, пойдем попишем в процесс

[dr.MIG]

Уточняю. Через WMI вот так.

[tyomitch]

Из числа старых трюков: если заюзать под свои цели ключ реестра, содержащий в своём названии vbNullChar, то из-под WinAPI он будет недоступен.

[Хакер]

tyomitch
А из-под чего он будет доступен?

[tyomitch]

Из-под Native API.

[Хакер]

А если софт пишется под 9x ?

[tyomitch]

Я абсолютно уверен, что автором не пишется софт под 9x.