Toutes les manières de charger un fichier (Sous Windows) ?

Question

Bonjour à tous,

Je suis entrain de faire un petit soft qui snif tous les fichiers que load un programme.

Je hook donc toute les fonctions susceptible de charger un fichier, mais voilà il m'en manque. Certains programmes arrivent à charger des fichiers sans que mon sniffer ne les détectes.

Je m'en remet donc à vous pour connaitre d'autre fonction, voici ce que j'ai déjà hooké :

Loadlibrary et Createfile, oui c'est tout car fopen, openfile ... passent toutes par createfile.
Donc mon problème est le suivant : j'ai soit une fonction en dessous de createfile (que createfile appelle) soit une autre fonction similaire à createfile existe dont je n'ai pas connaissance.

Quelqu'un connait il, donc, d'autre fonctions, que celles cité, pour charger un fichier ?

Merci d'avance !

BruNews · Answer

http://www.cppfrance.com/codes/HOOKER-ZWCREATEFILE_39994.aspx



ciao...
BruNews, MVP VC++

cs_Booster · Answer

Salut,


Merci pour ta réponse.


Cette source je la connai et le problème de cette methode c'est que je n'arrive pas à obtenir le nom du fichier qu'essai d'ouvrir le soft je m'explique :

Voici ce que j'obtients :

ZWCREATE: notepad.exe:1076   FILE:\DEVICE\HARDDISKVOLUME1
ZWCREATE: notepad.exe:1076   FILE:\DEVICE\HARDDISKVOLUME1
ZWCREATE: notepad.exe:1076   FILE:\DEVICE\HARDDISKVOLUME1\
ZWCREATE: notepad.exe:1076   FILE:\DEVICE\HARDDISKVOLUME1\PROGRAM FILES\

Ce que je te montre sont les log que j'obtiens avec le code suivant (A partir de la source de Arnotic) :

NTSTATUS arnZwCreateFile(.....)
{
  ....
  
//Ici je récupére le nom du "fichier" qu'essai de creer zwcreatefile.
  theRet = wcstombs(theConvert, ObjectAttributes->ObjectName->Buffer, sizeof(theConvert));
  
  sprintf(theResult,"ZWCREATE: %s   FILE: %s
", theProcess, theConvert);
  Log(theResult);

  ....
}

Le problème est donc que lorsque je rentre dans ZwCreateFile ce dernier ne me fourni pas le nom du fichier qu'il essai d'ouvrir/creer mais au mieux juste le répertoire.

Est ce un problème dans mon code ? Ou est ce normal ?

Merci d'avance de vos réponses !

PS : j'ai aussi hooker ZwOpenFile et même problème !

cs_rt15 · Answer

Salut,

Pour ce qui est des fichiers, il y a une autre méthode que le hook d'appel système : un driver de filtrage.

cs_Booster · Answer

Merci rt15 pour ce lien mais quand est ce que Microsoft fera quelque chose de gratuit ... ?

BruNews · Answer

Qu'y a-t-il de payant ?
Pas vu.

ciao...
BruNews, MVP VC++

cs_Booster · Answer

http://www.microsoft.com/whdc/devtools/ifskit/default.mspx > http://www.microsoft.com/whdc/devtools/ifskit/ServerIFSKitOrderinfo.mspx

BruNews · Answer

A oui vu cette fois, faut être abonné MSDN pour download le WDK.

Malgré tout ça peut se comprendre, c'est un énorme produit avec tout un tas d'outils et de codes exemples.

ciao...
BruNews, MVP VC++

Toutes les manières de charger un fichier (Sous Windows) ?

7 réponses

Votre réponse

Discussions similaires