Форум программистов [Powered by Invision Power Board]

Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате

Форум программистов > Delphi: WinAPI и системное программирование > "Ранняя" автозагрузка

Автор: Addmin 13.6.2007, 17:21

Добрый день!

Какие есть способы для загрузки процесса нашей программы до остальных (троянов, backdoor'ов, etc), так, чтобы мы имели доступ к файловой системе и к реестру.

На этом форуме уже были вопросы Romikgy, к сожалению, найти я их так не смог :(

Пути, которые я вижу (правда, наполовину smile

):

1. dll или процесс в winlogon (если такое возможно).
2. автозагурзка через BootExec (именно так работают CHKDSK, O&O Defrag, Avast!). К сожалению, по этой возможности у меня очень мало информации - какого типа должно быть приложение и т.д. Кто-нибудь просветит?

Заранее спасибо!

Добавлено через 55 секунд
Всмысле я пишу и не троян, и не backdoor, а их антипод smile

Автор: Rennigth 13.6.2007, 17:31

Addmin,
Драйвер или сервис пиши. Драйвер надежнее, но сложнее в реализации.

Автор: Addmin 13.6.2007, 18:00

Ясно

Не мог бы дать немножко ссылок на информацию о написании драйверов в Delphi? smile

Автор: m0ro 13.6.2007, 18:23

Сервисы:
http://ishodniki.ru/list/?cat=7&show=delphi_system&pr=sys_nt

По драйверам поищи книги лучше...

Автор: bems 13.6.2007, 18:53

Цитата(Addmin @ 13.6.2007, 17:21

)

1. dll или процесс в winlogon (если такое возможно).

это не очень ранний этап загрузки

Цитата(Addmin @ 13.6.2007, 17:21

)

2. автозагурзка через BootExec (именно так работают CHKDSK, O&O Defrag, Avast!). К сожалению, по этой возможности у меня очень мало информации - какого типа должно быть приложение и т.д

консольное или native

Автор: Rouse_ 13.6.2007, 20:40

По нативу у Шрайбера было это хорошо описано, но учти, там нет ничего похожего на Win32 подсистему...

Автор: Addmin 14.6.2007, 05:29

Rouse_, bems, m0ro, спасибо. Так и думал, что придётся консольку писать smile

Автор: bems 14.6.2007, 16:52

Цитата(Rouse_ @ 13.6.2007, 20:40

)

но учти, там нет ничего похожего на Win32 подсистему

не путпешь ли ты юзермодное native приложение с кернолмодом?
не уверен, но похоже на то

Автор: Rouse_ 15.6.2007, 10:52

Цитата(bems @ 14.6.2007, 17:52

)

не путпешь ли ты юзермодное native приложение с кернолмодом?

Я говорю именно про Native приложения, которые запускаются до запуска Win32 подсистемы. Пример такого - scandisk.

Автор: Addmin 12.9.2007, 17:25

Попытался простое консольное приложение поставить в BootExec:

Код


program consolka;

{$APPTYPE CONSOLE}

uses
  SysUtils;

begin
 DeleteFile('C:\1.exe');
end.

Но 1.exe так и не удалился. Почему? Есть ли какие-то отличия написания простых консольных приложений и подобных, "загрузочных"? Заранее спасибо smile

Автор: bems 12.9.2007, 18:27

а если без win32-вызовов?

Автор: Addmin 13.9.2007, 02:38

bems, паскалевский Erase тоже пробовал smile

Если ты об этом smile

Автор: W4FhLF 13.9.2007, 07:43

Цитата(Addmin @ 12.9.2007, 17:25

)

Но 1.exe так и не удалился. Почему? Есть ли какие-то отличия написания простых консольных приложений и подобных, "загрузочных"?

Как почему? А откуда там взятся api DeleteFile? kernel32.dll там ещё нет и в помине. Надо использовать функции, которая экспортиурются ядром или работать напрямую с disk.sys.
Олтичия? Да проще уж назвать совпадения, чем отличия. Нет там никаких консолек и прочего, то, что тебе здесь насоветовали.
В общем я не знаю, как тебе ответить на вопрос, слишком велики твои пробелы в знаниях и слишком обширна эта область.
Читал туториалы Fouf-F, книги Шрайбера, Руссиновича и Хоглунда.

Автор: Addmin 13.9.2007, 10:02

Спасибо!

Автор: RinOSpro 13.9.2007, 10:19

По секрету скажу Addmin

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
"Userinit="Троян.exe"

только потом не забудь запустить userinit winexec ом а то система не загрузиться

Добавлено через 3 минуты и 35 секунд
или подмени ntoskrnl.exe smile

это будет еще раньше, если найдешь споссоб как после этого винду запустить, будешь молодец. и нам скажешь. smile

Автор: Romikgy 13.9.2007, 14:12

Цитата(RinOSpro @ 13.9.2007, 09:19

)

или подмени ntoskrnl.exe

и все делать самому smile

читаю книгу "Руткиты для Windows " Колисниченко
много чего поучительного и для троянописателей и для их антиподов smile

Автор: Addmin 13.9.2007, 15:43

Romikgy, нужна ссылка на книжку Олега Зайцева "Руткиты, кейлогерры и spyware: методы борьбы"? smile

Тоже очень грамотная литература - вчера нашёл smile

Автор: bems 13.9.2007, 16:26

Цитата(W4FhLF @ 13.9.2007, 07:43

)

Нет там никаких консолек и прочего, то, что тебе здесь насоветовали.

вывод в StdOut там работает. Просто он приатаччен не к консоли. У dskchk.exe продсистема - консоль в РЕ заголовке

Цитата(W4FhLF @ 13.9.2007, 07:43

)

kernel32.dll там ещё нет и в помине

kernel32.dll можно и самому загрузить, но только вот сервер подсистемы Win32 еще не загружен, поэтому от kernel32.dll толку будет мало.

Добавлено через 4 минуты и 28 секунд

Цитата(Addmin @ 13.9.2007, 02:38

)

паскалевский Erase тоже пробовал Если ты об этом

не об этом. Об NtDeleteFile например

описание

Цитата

NtDeleteFile

NTSYSAPI
NTSTATUS
NTAPI
NtDeleteFile(

  IN POBJECT_ATTRIBUTES   ObjectAttributes );

It's very interesting NT System Call... Normally, file deletion is realised as FileDispositionInformation class in a call to NtSetInformationFile. When you use NtDeleteFile, file will be deleted immediatly after call (system isn't waiting for close last HANDLE to file).
--------------------------------------------------------------------------------

ObjectAttributesYou can manipulate ObjectName and RootDirectory members.
Example:
  If you have only file name as Unicode string, use it as ObjectName.
  If you have only a HANDLE to file, set it as RootDirectory. Set ObjectName as empty string.

Documented by:
Tomasz Nowak

Автор: W4FhLF 13.9.2007, 16:44

Цитата(bems @ 13.9.2007, 16:26

)

вывод в StdOut там работает. Просто он приатаччен не к консоли. У dskchk.exe продсистема - консоль в РЕ заголовке

В какой stdout? stdout это языкозависимое и высокоуровневое понятие и к какому именно системному механизму его применить это вообще личное дело каждого. А консолек там нет, они там не загрузятся и chkdsk.exe, который ты имел ввиду, тоже. Вместо него работает autochk.exe.

Цитата(bems @ 13.9.2007, 16:26

)

kernel32.dll можно и самому загрузить, но только вот сервер подсистемы Win32 еще не загружен, поэтому от kernel32.dll толку будет мало.

И как её можно загрузить, если csrss не загружен?

Автор: ne0n 13.9.2007, 17:08

Цитата(RinOSpro @ 13.9.2007, 10:19

)

По секрету скажу Addmin HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit="Троян.exe"

Гениально!!!Тока каето секреты у тебя староватые smile

и любой антивирус завижит на такое действие, а вообще можно обойтись без всяких winexec, т.к. ты там думаешь просто так запятая
: C:\WINDOWS\system32\userinit.exe,??? просто прописываешь после запятой путь к твоей программе!!!

Цитата(RinOSpro @ 13.9.2007, 10:19

)

или подмени ntoskrnl.exe это будет еще раньше, если найдешь споссоб как после этого винду запустить, будешь молодец. и нам скажешь.

шутник!

вообщем как писать на дельфях не видел а вот для C есть smile

теории там хватит:
http://www.xakep.ru/magazine/xa/082/114/2.asp

Автор: bems 13.9.2007, 17:11

Цитата(W4FhLF @ 13.9.2007, 16:44

)

В какой stdout? stdout это языкозависимое и высокоуровневое понятие

тот который возвращает GetStdHandle(STD_OUTPUT_HANDLE)

Цитата(W4FhLF @ 13.9.2007, 16:44

)

Вместо него работает autochk.exe.

не знал. как проверить?

Цитата(W4FhLF @ 13.9.2007, 16:44

)

И как её можно загрузить, если csrss не загружен?

как любую длл. Может оказаться что она откажется загружаться, тогда загрузить без выполнения точки входа. Я это не к тому что она заработает, а к тому что

Цитата(W4FhLF @ 13.9.2007, 07:43

)

А откуда там взятся api DeleteFile? kernel32.dll там ещё нет и в помине

формально не верно

Добавлено через 3 минуты и 28 секунд