Sprawdzanie który plik został otwarty przez program

[Koziol]

Witam,
przeczytałem kurs na temat keyloggera (http://www.cyfbar.republika.pl/api4.html#api4) i zastanawie mnie czy i jak istnieje możliwość sprawdzania który plik został otwarty przez program?
np:

2007-05-13 10:00:09 [run] Microsoft Word
2007-05-13 10:00:50 [open] Microsoft Word="c:/asd.doc"
2007-05-13 10:01:00 [save] Microsoft Word="c:/asd.doc"

[Cyfrowy Baron]

Jest to możliwe, aczkolwiek ja nie wiem jeszcze jak to zrobić. Na pewno trzeba pobrać uchwyt do procesu, a potem uzyskać informacje na jego temat. Pomocna może być tutaj porada Wyliczanie aktywnych procesów w systemie.

[Koziol]

Doczytałem że można to zrobić przez SQL injection, a wikipedia podpowiedziała mi:

"DLLs listed under the registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs will be loaded into every process that links to User32.dll as that DLL attaches itself to the process."

Teraz pytanie brzmi czy każdy program ładuje User32.dll (mi bardziej chodzi o programy w stylu PakietOffice, AutoCAD etc ogólnie aplikacje biurowe)?

I w jaki sposób napisać ową biblioteke?

[Cyfrowy Baron]

"DLLs listed under the registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs will be loaded into every process that links to User32.dll as that DLL attaches itself to the process."

Znaczy mniej więcej tyle:

DLLs przechowywany w kluczu HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs będzie ładował się do każdego procesu, który łączy się za pomocą User32.dll, ponieważ ten DLL dołącza siebie do procesów.

U mnie jest to biblioteka programu antywirusowego.

Nie wiem co kombinujesz, ale to nie jest to czego oczekujesz.

Przecież napisałem. Program musi pobrać uchwyt do procesu aplikacji, tak jak opisałem to w poradach, wyliczanie aktywnych procesów i zamykanie procesów. Środowisko C++Builder oferuje gotowe struktury, które zwrócą informacje o procesie. W poradzie Wyliczanie aktywnych procesów w systemie Windows oprócz nazwy procesu procesu, kod pobiera lokalizację procesu (ścieżkę dostępu), czyli już pobiera jakąś informację o procesie. W poradzie Zamykanie procesów kod pobiera nazwę okna procesu oraz jego ID. Tak więc modyfikując te porady i stosując odpowiednią strukturę można pobrać więcej informacji o procesach.

[Koziol]

Problem w tym ze na forum MSDN powiedzieli że Windows nie oferuje takiej wersji hook'a czyt. nie da sie sprawdzić który plik został zapisany badź otwarty przez program. A metodą podaną przeze mnie - dorzucenie kolejnego pliku dll do tego klucza - dało by się (tak mi się wydaje) kontrolować to co robi aplikacja. Ale nie za bardzo wiem jak się za to zabrać

[Cyfrowy Baron]

Da się. Używam programu Total Commander UP i on podaje dokładne informacje o procesach, w tym informacje o plikach otwartych przez proces. TC UP nie ładuje żadnych DLL-i w podanym kluczu i wogóle nie podłącza się do aktywnych procesów, jestem pewien, że się nie podłącza, bo program antywirusowy blokuje i zgłasza każdą próbę użycia keylogera, czy też próbę podpięcia się procesu pod inny proces, a sprawdzanie procesów przez TC UP nie wywołuje żadnej reakcji w programie antywirusowym.

Sposób polegający na pobraniu uchwytu do procesu, nie polega na przechwytywaniu haków, lecz na pobraniu uchwytu do procesu, a następnie pobraniu informacji o tym procesie, to nie ma nic wspólnego z hakami systemowymi, jeżeli tego nie rozumiesz, to nie napiszesz tego programu. Przecież w podanych poradach program jest w stanie pobrać informacje o procesach, ale to ile informacji pobierze zależy od funkcji i struktur, które wykorzystasz do pobrania tych informacji.

[Koziol]

Przeszukując MSDN niestety nie udało mi się nic znaleźć. Google też nic nie powiedział.

Miał byś może pomysł gdzie dokładniej tego poszukać? Bo tak prawde mówiąc szukanie tego bez pomysłu "gdzie", to jak szukanie igły w stogu siana...

[polymorphism]

TU masz jakieś info.

[Witold]

TU masz jakieś info.

Działa, nawet nie wiedziałem że tego potrzebuje. Nie mój temat, ale podziękuje.

[Koziol]

TU masz jakieś info.

Zaraz na to zerkne
Mi teżu dało się znaleźć coś ciekawego przeszukując CodeProject: http://www.codeproject.com/KB/shell/Ope ... x3189175xx