В последнее время интерес к программам-невидимкам снова возрос. В первую очередь это связано с появлением у рядовых пользователей WinXP. Эта ОСь, как известно, обладает всеми защитными особенностями линейки NT. И поэтому левые процессы стало “немножко” сложнее прятать от пользователя. Но и появление новых методов сокрытия присутствия существенно прибавилось ;). В данной статья я расскажу о новом способе “невидимости” (причём этот способ хорошо работает как в 9x, так и в XP). Суть его заключается в следующем: мы берём какую-либо программу, которая есть у более чем 90% пользователей и немножко изменяем её. (Из представленного ниже каркаса можно сделать всё что угодно!) Плюсы этого метода очевидны – раз заражённой нами прогой пользуются почти (а лучше без “почти”) все, то на неё никто ничего плохого не подумает, к тому же наш кусок кода НИГДЕ НЕ БУДЕТ ВИДЕН. Это актуально особенно для XP, так как в ней куча недокументированных функций (в том числе и для работы с процессами) и NtQuerySystemInformation не самая “опасная” для нас в данной ОСи. Так что осталось только выбрать прогу
и приступить :).
Мой выбор пал на Explorer :). Он есть почти у всех счастливых обладателей виндовОза. Какую его часть мы будем мучить? Ну, например, посмотрим в левый нижний угол :). Да, именно часы станут нашей жертвой.
Для начала немного теории. Наша программка будет состоять из 3-х файлов. (Exe – 1 штука, DLL – 2 штука :)). Нашей задачей будет какая-либо вставка кода в “механизм часов”. Лучшее для этого дела место это оконная процедура окна класса TrayClockWClass. После выбора жертвы всё становиться просто. Получается так:
Exe будет всё это запускать, одна из ДЛЛок будет содержать хук и проникать в процесс Explorer’а, другая же – будет содержать его новую оконную процедуру. Для проникновения мы воспользуемся SetWindowsHookEx с параметром WH_GETMESSAGE… Но сначала посмотрим на экзэшник. Его целью будет загрузка ДЛЛки с хуком, затем мы подождём немного (sleep(1000)), и пошлём часам мессагу, чтобы попасть в их процесс.
uses
windows,messages,shellapi;
{$R *.res}
var h:integer;
FI:NOTIFYICONDATA;
i:integer;
procedure RunStopHook(b:boolean);stdcall;external 'hdll.dll'; // проца в нашей DLL’ке с хуком.
begin
RunStopHook(true);
h := FindWindowEx(0, 0, 'Shell_TrayWnd', nil);
h := FindWindowEx(h, 0, 'TrayNotifyWnd', nil);
h := FindWindowEx(h, 0, 'TrayClockWClass', nil);
sleep(1000); // что бы наша Dll’ка успела загрузиться.
postmessage(h,wm_paint,0,0);
zeromemory(@FI,sizeof(FI));
FI.cbSize:=sizeof(FI);
FI.szTip:='Hello temp';
FI.uFlags:=NIF_TIP;
FI.Wnd:=GetDeskTopWindow;
Shell_NotifyIcon(NIM_ADD,@FI); // у часов мы в дальнейшем поменяем отрисовку (для наглядности)
Shell_NotifyIcon(NIM_DELETE,@FI);
end.
Так-с. Теперь подумаем о реализации ДЛЛки с хуком. Процедура перехвата должна сверять хэндл часов с хэндлом перехватываемого message’а. Если они равны, то ДЛЛка в процессе Explorer’а. И тут мы уже можем менять процедуру окна часов. Но всё по порядку :).
library hdll;
uses
SysUtils,
Classes,
windows,
messages;
{$R *.res}
var syshook:hhook; // переменная для хука
procedure GetAndSet(h:integer);stdcall; external 'gas.dll'; // процедура из 2-ой ДЛЛки, которая заменит оконную процедуру часов.
function CallWndProc(
nCode:integer ; // hook code
wParam: WPARAM ; // current-process flag
lParam: LPARAM // address of structure with message data
):LRESULT;stdcall;
var h:integer;
ok:boolean; // переменная влияющая на снятие хука. (т.е. показывающая, что оконная процедура часов изменена)
begin
ok:=false;
H := FindWindowEx(0, 0, 'Shell_TrayWnd', nil);
H := FindWindowEx(H, 0, 'TrayNotifyWnd', nil); // все пэрэнты часов можно узнать с помощью Spy++ (а любителей кодинга отсылаю к MSDN GetParent &
WindowFromPoint)
if tmsg(pointer(lparam)^).hwnd=H then begin
h := FindWindowEx(H, 0, 'TrayClockWClass', nil); // получаем хэндл часов
loadlibrary('gas.dll'); // загружаем 2-ую ДЛЛку (чтобы она висела в процессе Explorer’а)
GetAndSet(h); // меняем ему процедуру
Invalidaterect(h,nil,false); //sendmessage(h,wm_paint,0,0);
ok:=true;
end;
result:=CallNextHookex(syshook,ncode,wparam,lparam);
if ok then UnHookWindowsHookEx(syshook); // отключаем хук
end;
procedure RunStopHook(b:boolean);export;stdcall;
begin
if b then SyShook:=Setwindowshookex(WH_GETMESSAGE,@callWndProc,Hinstance,0)
else unhookwindowshookex(syshook);
if (syshook=cardinal(-1)) or(syshook=cardinal(0)) then messagebox(0,'Suxx','',mb_ok);
end;
exports RunStopHook;
begin
end.
Теперь самое интересное – оконная процедура часов. Её можно модифицировать для чего угодно: это может быть и героический житель трои, и клавиатурный шпион, и просто
фенька (её то я и покажу) . При замене оконной процедуры мы создадим шрифт и им будем выводить время ежесекундно. Так же мы не должны забывать и о старой оконной процедуре, ведь она тоже выполняет немало функций! (например вызов окна по двойному щелчку на часах и popup по правой кнопке…)
library gas;
uses
SysUtils,
Classes,windows,messages,shellapi;
{$R *.res}
var SavedProc:pointer;
f:integer;
procedure MyDraw(h:hwnd); // процедура “канвасинья”
var s:array[0..20] of char;
time:_systemtime;
begin
s:='hh'':''mm'':''ss'; // маска времени
SetTextColor(h,$ff0100); // установка цвета текста
selectObject(h,f);
GetLocalTime(time);
GetTimeFormat(LOCALE_USER_DEFAULT, TIME_FORCE24HOURFORMAT,@time,s,s,21); // форматируем
строку со временем
TextOut(h,0,0,@s[0],8); // Выводим строку
end;
function WinProc(hWnd: HWND; Msg: UINT; wParam: WPARAM; lParam: LPARAM): LRESULT; stdcall;
var http:integer;
pp:PAINTSTRUCT;
begin
case msg of
WM_PAINT:begin // перехват и обработка
http:=beginPaint(hwnd, pp);
MyDraw(http);
endpaint(hwnd,pp);
result:=0;
end;
wm_timer:
begin
http:=getdc(hwnd);
MyDraw(http);
releasedc(hwnd,http);
result:=0;
end;
WM_USER+100:result:=195 +(20 shl 16); // эта фишка оконной процедуры часов. При этом message’е винда ожидает получить ответ о размере часов.
else
result:=CallWindowProc(SavedProc,hwnd,msg,wparam,lparam); // если мессага не наша, то пусть её обработает старый обработчик
end;
end;
procedure GetAndSet(h:integer);stdcall;
var p,p2:Trect;
hand,h2:integer;
begin
if pointer(getwindowlong(h,GWL_WNDPROC))<>@winProc then begin// эта фишка, служет для того чтобы не наделать лишних проц. :]
SavedProc:=pointer(SetWindowLong(h,GWL_WNDPROC,cardinal(@Winproc)));
SetTimer(h,0,1000,nil); // создаём таймер
f:=CreateFont(20,25,0,0,FW_THIN,1,1,0, RUSSIAN_CHARSET, OUT_CHARACTER_PRECIS,
CLIP_DEFAULT_PRECIS, DEFAULT_QUALITY, FF_MODERN, nil); // Создаём шрифт
end;
end;
exports GetAndSet;
begin
end.
Приведённую выше процедуру отрисовки хорошо бы использовать для работы с асинхронными сокетами :). На этом пока всё.
(to be continued…)
