Подключение или мониторинг службы создания - PullRequest
0 голосов
/ 02 марта 2011

Я нахожусь в конце моей веревки здесь.Я уже три недели пытаюсь получить эту информацию.Прежде чем я продолжу, я хочу, чтобы вы знали, что я не пишу здесь вредоносные программы.Однако я пишу инструмент бинарного анализа, который отслеживает поведение вредоносных программ.

Я пытаюсь либо подключить, либо мониторить CreateServiceW и CreateServiceA.Причина в том, что я хочу знать, какой процесс вызвал CreateService и что такое двоичный файл, который регистрируется в качестве службы вызовом.

Я пробовал все, начиная от записи перехвата ZwRequestWaitReplyPort и перехвата сообщения LPC, до написанияпрокси DLL для advapi32.dll и написание встроенного хука для функции CreateService.Ни один из этих подходов не дал результатов, хотя.Прокси-DLL была многообещающей в тестировании, но не работала, когда официальная DLL в system32 была заменена прокси (BSOD).Встроенный хук сработал бы, если бы я мог получить доступ на запись в отображенную область памяти, в которой находится DLL. Но независимо от того, что у меня заканчивается время, и я отчаянно нуждаюсь в альтернативе.

Я смотрел на SetWindowsHookExи кажется правдоподобным, что он может перехватывать сообщения, отправленные процессом в services.exe ... но я не уверен.

Может кто-нибудь указать мне правильное направление ... Я умоляювы.

1 Ответ

0 голосов
/ 09 января 2013

"Встроенный хук сработал бы, если бы я мог получить доступ на запись в отображенную область памяти, в которой находится DLL."

Если это система, которую вы полностью контролируете, почему у вас нет доступа для записи в память?

Используйте VirtualProtect для изменения разрешений на RWX и вставьте свою ловушку. Процедуры ADVAPI32 CreateService - это просто заглушки, перенаправляемые на sechost.dll через api-ms-service-management-l1-1-1.dll (из-за MinWin) так что уже есть легкая инструкция вызова для подключения.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...