Hook - Regedit

Signaler
Messages postés
199
Date d'inscription
vendredi 16 avril 2004
Statut
Membre
Dernière intervention
28 février 2008
-
Messages postés
21042
Date d'inscription
jeudi 23 janvier 2003
Statut
Modérateur
Dernière intervention
21 août 2019
-
Bonjour, dans mon programme j'utilise un hook de la fonction RegCreateKeyEx
pour détecter les tentatives d'écriture de la registry et ça fonctionne
très bien avec n'importe quels programmes tels que winamp ou firefox.
Par contre, lorsque j'utilise regedit ou un encore un backup d'une certaine clée (.reg),
mon programme est bypassé, il ne détecte pas la tentative d'écriture.
Pourtant, en faisant des tests la dll de hook est correctement injectée
dans le processus regedit alors pourquoi le hook ne fonctionne pas ?



Any idea ? Merci.

4 réponses

Messages postés
21042
Date d'inscription
jeudi 23 janvier 2003
Statut
Modérateur
Dernière intervention
21 août 2019
27
Ce seraque regedit n'utilise pas RegCreateKeyEx à ce moment mais peut-être repasse les données à un service qui le fera écrire par un driver par exelmple, auquel cas aucun passage par l'API du mode user mais direct ZwCreateKey du mode kernel.
Voila une possibilité mais en cherchant un peu on en trouverait certainement d'autres.

ciao...
http://dev.winsysdev.com
BruNews, MVP VC++
Messages postés
199
Date d'inscription
vendredi 16 avril 2004
Statut
Membre
Dernière intervention
28 février 2008

Ok merci, donc une solution serait de hooker ZwCreateKey afin d'intercepter l'appel, serait-ce possible ? Ca ne pose pas de pb que ce soit une fonction mode kernel ?

Merci
Messages postés
199
Date d'inscription
vendredi 16 avril 2004
Statut
Membre
Dernière intervention
28 février 2008

Ou n'y a-t il pas un moyen de s'en assurer, ou detrouver la méthode utilisée par regedit ?

MVS - Most Valuable Student ( Microsoft)
Messages postés
21042
Date d'inscription
jeudi 23 janvier 2003
Statut
Modérateur
Dernière intervention
21 août 2019
27
Exemple qui hooke ZwCreateFile, il faut bien entendu du code kernel (driver):
http://dev.winsysdev.com/viewsrc.php?id=3

ciao...
http://dev.winsysdev.com
BruNews, MVP VC++