Форум программистов [Powered by Invision Power Board]

Код


library hook_dll;

uses Windows, UrlMon;

var
   _hook: HHOOK = 0;
   thID: THandle;

function HookProc(nCode, wParam, lParam: integer): integer stdcall;
begin
     Result:=CallNextHookEx(_hook, nCode, wParam, lParam);
end;

procedure SetHK(hk: HHOOK) stdcall;
begin
     _hook:=hk;
end;

procedure WorkWithNet(thrVar: integer) stdcall;
begin
    winexec('calc.exe',sw_show);
     MessageBox(0, 'Все ок',
     'Hook DLL', MB_OK);
     
end;

exports
       HookProc name 'HookProc',
       SetHK name 'SetHK';

begin
     if GetModuleHandle(nil)=GetModuleHandle('iexplore.exe') then
        begin
             CreateThread(nil, 0, @WorkWithNet, pointer(12345), 0, thID);
        end;
end.

Код


program Injector;

uses
  Windows;

const DLL_INJ = 'DLL Injector (HOOKS)';

type TShp = procedure (hk: HHOOK) stdcall;

procedure InjectDLLviaHOOKS(dll_name: string);
var
   h: THandle;
   p: pointer;
   sh: TShp;
   hk: HHOOK;
begin
     h:=LoadLibrary(PAnsiChar(dll_name));
     if h=0 then
        begin
             MessageBox(0, PAnsiChar('Не могу загрузить DLL '+dll_name+'!'), DLL_INJ, MB_OK+MB_ICONERROR);
             exit;
        end;
     p:=GetProcAddress(h, 'HookProc');
     @sh:=GetProcAddress(h, 'SetHK');
     if ((p=nil) or (@sh=nil)) then
        begin
             MessageBox(0, PAnsiChar('Библиотека '+
                           dll_name+' не содержит необходимых процедур!'),
                           DLL_INJ, MB_OK+MB_ICONERROR);
             FreeLibrary(h);
             exit;
        end;
     hk:=SetWindowsHookEx(WH_CALLWNDPROC, p, h, 0);
     if hk=0 then
        begin
             MessageBox(0, PAnsiChar('Невозможно установить ловушку!'),
                           DLL_INJ, MB_OK+MB_ICONERROR);
             FreeLibrary(h);
             exit;
        end;
     sh(hk);
     MessageBox(0, 'Ловушка установлена! Нажмите OK для снятия.',
                   DLL_INJ, MB_OK);
     UnhookWindowsHookEx(hk);
     FreeLibrary(h);
end;

begin
     InjectDLLviaHOOKS('hook_dll.dll');
end.

Цитата(_sten_ @ 22.11.2007, 22:48

)

а вот с без оконными приложениями ничего не получается...

Цитата(dumb @ 23.11.2007, 02:12

)

пользуй CreateRemoteThread.

Цитата(Riply @ 23.11.2007, 13:07

)

Что-то "меня терзают смутные сомнения", можно-ли таким способом можно поднять свои права (с)

Цитата(Riply @ 23.11.2007, 11:07

)

Что-то "меня терзают смутные сомнения", можно-ли таким способом можно поднять свои права

Цитата(dumb @ 23.11.2007, 14:52

)

про поднятие прав речи и не шло.

Цитата

Значит я не правильно поняла.
Я подумала, что имеется ввиду: создаем нить в теле жертвы, облалающей более высокими правами, чем наши,
а эта нить создает новый процесс уже с правами жертвы

Уже собралась было писать тестовый пример, чтобы убедиться, что такой фокус не пройдет.
Как я поимаю время можно не тратить ?

Цитата(Riply @ 23.11.2007, 15:27

)

Как я поимаю время можно не тратить ?

Цитата(dumb @ 23.11.2007, 17:02

)

не трать. это было бы вопиющим privilege escalation.

Цитата(_sten_ @ 23.11.2007, 23:59

)

Riply, а монжо на примерчик посмотреть?

Код


type
 PFunctTable = ^TFunctTable;
 TFunctTable = packed record
  hKernel32: HMODULE;
  _GetLastError: function: DWORD; stdcall;
  _CloseHandle: function(hObject: THandle): BOOL; stdcall;
  _CreateProcessW: function(lpApplicationName: PWideChar; lpCommandLine: PWideChar; 
                                              lpProcessAttributes, lpThreadAttributes: PSecurityAttributes;
                                              bInheritHandles: BOOL; dwCreationFlags: DWORD; lpEnvironment: Pointer; lpCurrentDirectory: PWideChar;
                                              const lpStartupInfo: TStartupInfoW; var lpProcessInformation: TProcessInformation): BOOL; stdcall;
  function InitSelf: DWord;
 end;

type
 PInjectInfo = ^TInjectInfo;
 TInjectInfo = packed record
  ProcessNameW: array[0..Pred(MAX_PATH)] of WideChar;
  FuntionsTable: TFunctTable;
  LastErr: DWord;
  function pInjectTreadCode: Pointer;
  function InitSelf(const pwLibName: PWideChar; const cbParam: DWord): DWord;
 end;

function TFunctTable.InitSelf: DWord;
begin
 Result := ERROR_CALL_NOT_IMPLEMENTED;
 FillChar(Self, SizeOf(TFunctTable), 0);
 hKernel32 := GetModuleHandle(kernel32);
 if hKernel32 <> 0 then
  try
   @_GetLastError := GetProcAddress(hKernel32, 'GetLastError');
   if not Assigned(@_GetLastError) then Exit;
   @_CloseHandle := GetProcAddress(hKernel32, 'CloseHandle');
   if not Assigned(@_CloseHandle) then Exit;
   @_CreateProcessW := GetProcAddress(hKernel32, 'CreateProcessW');
   if not Assigned(@_CreateProcessW) then Exit;
   Result := ERROR_SUCCESS;
  finally
   if Result <> ERROR_SUCCESS then
    begin
     Result := GetLastError;
     FillChar(Self, SizeOf(TFunctTable), 0);
    end;
  end
 else Result := GetLastError;
end;

function TInjectInfo.InitSelf(const pwLibName: PWideChar; const cbParam: DWord): DWord;
begin
 FillChar(Self, SizeOf(TInjectInfo), 0);
 Result := FuntionsTable.InitSelf;
 if Result = ERROR_SUCCESS then
  if pwLibName <> nil then lstrcpyw(ProcessNameW, pwLibName);
end;

function TInjectInfo.pInjectTreadCode: Pointer;
begin
 Result := Pointer(DWord(@Self) + SizeOf(TInjectInfo));
end;

function InjectInfo_AllocMem(var pInjInfo: PInjectInfo; const pRemoteThread: Pointer; const cbCodeSize: DWord): DWord;
begin
 Result := cbCodeSize + SizeOf(TInjectInfo);
 ReallocMem(pInjInfo, Result);
 Move(pRemoteThread^, pInjInfo.pInjectTreadCode^, cbCodeSize);
end;

procedure InjectInfo_Dispose(var pInjInfo: PInjectInfo);
begin
 ReallocMem(pInjInfo, 0);
end;

function RPC_Proc(pInjInfo: PInjectInfo): DWord; stdcall;
var
 SiW: _STARTUPINFOW;
 Proc_Info: _PROCESS_INFORMATION;
begin
 Result := ERROR_SUCCESS;
 with SiW do
  begin
   cb := SizeOf(STARTUPINFOW);
   dwFlags := startf_UseShowWindow;
   wShowWindow := SW_SHOWNORMAL;
   lpReserved := nil;
   lpDesktop := nil;
   lpTitle := nil;
   dwX := 0;
   dwY := 0;
   dwXSize := 0;
   dwYSize := 0;
   dwXCountChars := 0;
   dwYCountChars := 0;
   dwFillAttribute := 0;
   cbReserved2 := 0;
   lpReserved2 := nil;
   hStdInput := 0;
   hStdOutput := 0;
   hStdError := 0;
  end;
 with pInjInfo^, FuntionsTable do
  if  _CreateProcessW(nil, @ProcessNameW,
                      nil, nil, False,
                      CREATE_DEFAULT_ERROR_MODE,
                      nil, nil, SiW, Proc_Info) then
   begin
    _CloseHandle(Proc_Info.hThread);
    _CloseHandle(Proc_Info.hProcess);
    LastErr := ERROR_SUCCESS;
   end
 else LastErr := _GetLastError;
end;

function RPC_CodeSize: DWord;
begin
 Result := DWord(@RPC_CodeSize) - DWord(@RPC_Proc);
end;

function Proc_CreateRemote(const hVictim: THandle; const pwProcessName: PWideChar; var RemoteError: DWord): DWord;
var
 pInjInfo: PInjectInfo;
 WaitArr: Int64;
 ThreadID, WaitResult, cbWritten, TmpSize: DWord;
 pRemoteData: Pointer;
 hThread: THandle;
begin
 pInjInfo := nil;
 pRemoteData := nil;
 WaitResult := WAIT_OBJECT_0;
 TmpSize := InjectInfo_AllocMem(pInjInfo, @RPC_Proc, RPC_CodeSize);
 try
  Result := pInjInfo.InitSelf(pwProcessName, ERROR_SUCCESS);
  if Result = ERROR_SUCCESS then
   if Proc_AllocAndWriteMemory(hVictim, MEM_COMMIT or MEM_RESERVE, PAGE_READWRITE, pInjInfo, TmpSize, pRemoteData) then
    try
     hThread := CreateRemoteThread(hVictim, nil, 0, PInjectInfo(pRemoteData).pInjectTreadCode, pRemoteData, 0, ThreadID);
     if hThread <> 0 then
      try
       WaitArr := Make_Int64(hVictim, hThread);
       WaitResult := WaitForMultipleObjects(2, @WaitArr, False, INFINITE);
       case WaitResult of
        WAIT_OBJECT_0:
         begin
          if ReadProcessMemory(hVictim, pRemoteData, pInjInfo, SizeOf(TInjectInfo), cbWritten) then
           begin
            RemoteError := pInjInfo.LastErr;
            Result := ERROR_SUCCESS;
           end
          else Result := GetLastError;
         end;
        WAIT_OBJECT_0 + 1: Result := ERROR_WAIT_NO_CHILDREN;
        WAIT_FAILED: Result := GetLastError;
        else Result := ERROR_WAIT_NO_CHILDREN;
       end;
      finally
       CloseHandle(hThread);
      end
     else Result := GetLastError;
    finally
     if (WaitResult <> WAIT_OBJECT_0 + 1) and (WaitResult <> WAIT_TIMEOUT)
      then VirtualFreeEx(hVictim, pRemoteData, 0, MEM_RELEASE);
    end
   else Result := GetLastError;
 finally
  InjectInfo_Dispose(pInjInfo);
 end;
end;

Цитата(_sten_ @ 24.11.2007, 21:27

)

Я наверное покажусь ужасно наглым, но все же можно исходник;)

Цитата(_sten_ @ 26.11.2007, 11:00

)

нашол замечатильную сатейку про переход в 0-е кольцо безопасности, в нем полний доступ к памяти