Intercepter un processus windows avant son execution

Version imprimable

24/05/2022, 13h36
ALEX77

Intercepter un processus windows avant son execution

Bonjour,

Je me demandais depuis pas mal de temps s'il était possible de réaliser ça en Delphi (ou dans un autre langage) : un moyen simple de détecter lorsqu'un utilisateur lance un processus et décider si on le laisse s'exécuter on si on l'annule.

Je sais lister les processus 32bits (pas les 64 bits) mais l'idée est d'intercepter un processus avant qu'il puisse s’exécuter.

Avez-vous eu des expériences sur ce sujet ?

Merci pour votre retour :lol:
24/05/2022, 17h09
pprem

Tu voudrais te greffer sur les mêmes points d'entrée que les antivirus ? Il y a forcément une API Windows pour ça quelque part.

La réponse est probablement quelque part dans la doc de Microsoft (si tu arrives à formuler la bonne demande) sur MSDN (bon courage :roll:).
24/05/2022, 19h00
anapurna

salut

de mémoire il existé plusieurs possibilité selon la dérivation que l'on voulez faire ;)

le plus connue est sans nulle doute SetWindowsHookEx

il y a aussi l'injection dll InjectDLL on en parle ici

sinon directement en mémoire avec VirtualAlloc et autres joyeuseté ;)
24/05/2022, 19h27
edam

voir ici
24/05/2022, 20h04
Paul TOTH

Citation:

Envoyé par pprem

Tu voudrais te greffer sur les mêmes points d'entrée que les antivirus ? Il y a forcément une API Windows pour ça quelque part.

La réponse est probablement quelque part dans la doc de Microsoft (si tu arrives à formuler la bonne demande) sur MSDN (bon courage :roll:).

j'avais vaguement regardé cela, histoire de me débarrasser de l'antivirus en mettant un appli qui accepte tout...sauf qu'il faut que le programme soit signé et répertorié chez MS si je me souviens bien...donc c'est juste pas possible :)
24/05/2022, 20h16
ALEX77

Citation:

Envoyé par pprem

Tu voudrais te greffer sur les mêmes points d'entrée que les antivirus ?

Oui c'est un peu ça l'idée ;)
24/05/2022, 20h19
ALEX77

Merci à tous.

Je vais jeter un oeil plus approfondi aux liens que vous m'avez passé au dessus et je ne manquerais pas de revenir. Je sens que la nuit va être longue! ;)
25/05/2022, 10h58
anapurna

salut

j'avais lu il y a longtemps des articles de "Anton Bassov" fort intéressant à l'époque
pour contourné un certain nombre de problème, je ne sais pas si ils sont encore d'actualité mais c'était une mine d'information pour moi a ce moment là

J'ai testé ces codes avec la library :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
 
library HookActivation;
 
uses
  Windows,
  SysUtils,
  Classes;
 
Type
  TActivationEvent=procedure(var Handle:HWND);
 
var
  hkFenetre: HHOOK;
  hwFenetre: HWnd ;
 
  ActivationEvent:TActivationEvent;
  SaveDllProc:TDLLProc;
 
function MonHookProc(Code:Integer;wParam:WPARAM;lParam:LPARAM):LRESULT; stdcall;
begin
  Result:= 0;
  if Code<0
  then Result:=CallNextHookEx(hkFenetre, Code, wParam, lParam)
  else  if Code=HCBT_ACTIVATE then
        begin
          hwFenetre:=HWND(wParam);
          if Assigned(ActivationEvent)
          then ActivationEvent(hwFenetre);
        end;
end;
 
function ActiveHook:Boolean; stdcall; export;
begin
  if hkFenetre=0 then
  begin
    hkFenetre:=SetWindowsHookEx(WH_CBT, @MonHookProc, HInstance, 0);
    Result:=True;
  end
  else Result:=False;
end;
 
function DesactiveHook: Boolean; stdcall; export;
begin
  if hkFenetre<>0 then
  begin
    UnHookWindowsHookEx(hkFenetre);
    hkFenetre := 0;
    Result := True;
  end
  else Result := False;
end;
 
procedure SetProcedureCallBack(var UneProcedure:TActivationEvent); stdcall; export;
begin
  ActivationEvent:=UneProcedure;
end;
 
procedure LibExit(Reason: Integer);
begin
  if Reason = DLL_PROCESS_DETACH then
  begin
    // code de sortie de la bibliothèque
    //si on a un hook qui traîne, on le libère...
    DesactiveHook;
  end;
  SaveDllProc(Reason);  // appeler la procédure de point d'entrée enregistrée
end;
 
exports
  ActiveHook name 'ActiveHook',
  DesactiveHook name 'DesactiveHook',
  SetProcedureCallBack name 'SetProcedureCallBack';
 
begin
  hkFenetre:= 0;
  ActivationEvent:=nil;
  // code d'initialisation de la bibliothèque
  SaveDllProc:=DllProc;  // mémoriser la chaîne des procédures de sortie
  DllProc:=LibExit;  // installer la procédure de sortie LibExit
end.

et une application fiche VCL toute simple :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
 
unit testHookform;
 
interface
 
uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, StdCtrls;
 
type
  TForm1 = class(TForm)
    Memo1: TMemo;
    Button1: TButton;
    procedure FormDestroy(Sender: TObject);
    procedure Button1Click(Sender: TObject);
  private
    { Déclarations privées }
  public
    { Déclarations publiques }
  end;
 
type
  TActivationEvent = procedure(var Handle:HWND);
 
procedure ActiveHook; external 'HookActivation.dll';
procedure DesactiveHook; external 'HookActivation.dll';
procedure SetProcedureCallBack(var UneProcedure:TActivationEvent); external 'HookActivation.dll';
 
var
  Form1: TForm1;
  CB:TActivationEvent;
 
implementation
 
uses Math;
 
{$R *.dfm}
 
 
 
procedure MonCallBack(var Handle: Hwnd);
var buf: array [0..1023] of char;
  Classe: string;
  Titre:string;
begin
  GetClassName(Handle, buf, sizeof(buf));
  Classe:=string(buf);
  GetWindowText(Handle, buf, sizeof(buf));
  Titre:=string(buf);
  If Form1<>nil then
  If Form1.Memo1<>nil
  then Form1.memo1.lines.Add(Classe+' ---> '+Titre);
end;
 
procedure TForm1.Button1Click(Sender: TObject);
begin
  CB:=MonCallBack;
  SetProcedureCallBack(CB);
  ActiveHook;
end;
 
procedure TForm1.FormDestroy(Sender: TObject);
begin
  DesactiveHook;
  CB:=nil;
end;
 
end.

Mais ça plante grave...

25/05/2022, 18h22
Jipété

Citation:

Envoyé par ALEX77

Mais ça plante grave...

n'est pas un message d'erreur valide pour qu'on comprenne ce qui se passe ou ce qui s'est passé…
25/05/2022, 18h32
ALEX77

Quand je dis que ça plante : Violation d'accès, suivi de

---------------------------
Erreur d'application
---------------------------
Exception EAccessViolation dans le module HookActivation.dll dans 00000000.
Violation d'accès à l'adresse 00000000. Lecture de l'adresse 00000000.
---------------------------
OK
---------------------------

obligé de killer l'IDE (je suis sous D2007) avec le processus de l'application.
25/05/2022, 18h54
Andnotor

Normal ! UneProcedure n'est valide que depuis le processus qui a installé le hook. Pour tous les autres, c'est à coup sûr une VA dès qu'une fenêtre s'active. Il faut notifier ton app par Post/SendMessage (ou autres formes d'IPC).

Sinon, j'ai dernièrement donné des indications sur la façon de surveiller le système sans hook.

Mais pour l'un comme pour l'autre, le processus sera déjà créé. Pas ce que tu souhaites.
25/05/2022, 19h03
ShaiLeTroll

Essaye déjà un Hook de Message, un poil moins intrusif : https://www.developpez.net/forums/d8...e/#post4980469
Voir au moins si ça fonctionne

Pourquoi avoir fait un CallBack au lieu laisser la logique dans la DLL ?
Tu peux débogueur en dessinant directement sur le GetDesktopWindow\GetDC au lieu de l'afficher dans Memo
Rien que le Form1 utilisé dedans, j'ai mal ...

Et quel serait le vrai but ?
Une approche type Launcher ne serait pas plus simple ?
En gros, le programme que tu controler, tu le renommes et tu crées un launcher qui le remplace.
25/05/2022, 19h25
ALEX77

Salut

Citation:

Envoyé par ShaiLeTroll

Pourquoi avoir fait un CallBack au lieu laisser la logique dans la DLL ?

J'ai simplement testé le lien qu'on m'a passé plus haut : https://www.developpez.net/forums/d1...n/#post1180730

Citation:

Envoyé par ShaiLeTroll

Et quel serait le vrai but ?

Le but est de pouvoir intercepter un programme .exe avant qu'il s'exécute et d'avertir l'utilisateur. Un peu comme un antivirus comme il a été évoqué plus haut. Est-ce que c'est possible avec les "Hook" ? Pour l'instant je n'en ai pas la moindre idée...
25/05/2022, 23h59
edam

tu n'as pas lu jusqu'à la fin :aie:

Citation:

Envoyé par edam

tu n'as pas lu jusqu'à la fin :aie:

Si si j'avais été jusque là mais je ne suis pas sûr d'avoir compris ce qu'il faut modifier dans le code de ma fiche VCL.

Ce code est à placer comment je ne comprend pas :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 procedure TForm1.MonMessage; begin if not InitialisationHook(Handle) then begin Sleep(100); PostMessage(Handle,WM_Jamai,0,0); end; end; procedure TForm1.FormCreate(Sender: TObject); begin Timer1.Enabled:=false; PostMessage(Handle,WM_Jamai,0,0); //initialise le hook en faisant passer le handle de Form1 en paramètre end;
A quel moment appelle t-on la méthode "MonMessage" ? Le timer1 est à combien d'interval ? Qu'est-ce qui change par rapport à mon code ? Pas compris.

26/05/2022, 09h18
Andnotor

Citation:

Envoyé par ALEX77

Est-ce que c'est possible avec les "Hook" ?

Il semble que ma réponse soit passée inaperçue.

Un hook est injecté dans un processus. Forcément que le processus existe déjà !
26/05/2022, 10h02
Paul TOTH

Citation:

Envoyé par ALEX77

Quand je dis que ça plante : Violation d'accès, suivi de

---------------------------
Erreur d'application
---------------------------
Exception EAccessViolation dans le module HookActivation.dll dans 00000000.
Violation d'accès à l'adresse 00000000. Lecture de l'adresse 00000000.
---------------------------
OK
---------------------------

obligé de killer l'IDE (je suis sous D2007) avec le processus de l'application.

ton code utilise manifestement un pointeur (un object, une procédure...) non initialisé ( = nil = 0).
27/05/2022, 15h06
ALEX77

Bonjour à tous et merci pour vos réponses

C'est grâce à anapurna plus haut ;) que je suis tombé sur cet article qui a l'air d'être assez pertinent par rapport à mon sujet : Anton Bassov

D'après l'article, cela consiste en deux programmes :
-un driver .sys
-un programme .exe

En gros tant que le programme protector.exe est lancé, les processus qui se créent sont interceptés et le programme demande quoi en faire.

Je n'ai pas pu tester si cela fonctionne car il manque le driver .sys. Il y a seulement la démo du programme .exe qui lui a besoin de ce driver .sys. Il faut donc pouvoir le compiler...

Par contre je suis sous Delphi et il est écrit sur certains forums que Delphi ne peut pas ou n'est pas trop fait pour compiler des .sys c'est plutôt réservé au C++...

Vous avez une idée de quels outils utiliser pour compiler les codes sources de cette page (surtout le driver .sys) ?
27/05/2022, 15h41
Paul TOTH

j'ai déjà vu des vieux projets pour compiler du .SYS avec Delphi, mais c'était une grosse bidouille...et il faut savoir que l'API Kernel n'a rien à voir avec l'API classique, donc il faut tout réapprendre...mais Visual C++ permet de créer des drivers

par ailleurs, l'article parle de Windows XP SP2, donc un Windows qui n'est pas sur l'architecture NT et qui permet beaucoup de choses...rien ne garanti que ce qu'il présente soit toujours possible.

Citation:

Envoyé par Paul TOTH

par ailleurs, l'article parle de Windows XP SP2, donc un Windows qui n'est pas sur l'architecture NT et qui permet beaucoup de choses...rien ne garanti que ce qu'il présente soit toujours possible.

Je ne sais pas, car il y a quelqu'un dans les commentaires de la page qui dit que ça marche sous Windows 7.

J'essaie de compiler ça avec Code::Blocks (mais là après on parle d'un autre forum, d'un autre langage) et je bute sur la syntaxe du asm inline dans le code original on a :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 //just saves execution contect and calls check() _declspec(naked) Proxy() { _asm{ //save execution contect and calls check() -the rest depends upon the value check() returns // if it is 1, proceed to the actual callee. Otherwise,return STATUS_ACCESS_DENIED pushfd pushad mov ebx,esp add ebx,40 push ebx call check cmp eax,1 jne block //proceed to the actual callee popad popfd jmp RealCallee //return STATUS_ACCESS_DENIED block:popad mov ebx, dword ptr[esp+8] mov dword ptr[ebx],0 mov eax,0xC0000022L popfd ret 32 } }
J'ai choisi GNU Compiler comme compilateur du projet.

J'ai une belle erreur qui dit que "_asm" n'exsite pas, obligé de mettre asm et d'utiliser les () au lieu des {} et de mettre des "" ce qui donne :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 //just saves execution contect and calls check() _declspec(naked) Proxy() { asm ( "pushfd" "pushad" "mov ebx,esp" "add ebx,40" "push ebx" "call check" "cmp eax,1" "jne block" "popad" "popfd" "jmp RealCallee" "block:popad" "mov ebx, dword ptr[esp+8]" "mov dword ptr[ebx],0" "mov eax,0xC0000022L" "popfd" "ret 32" ); }
Par contre ça compile mais je ne suis pas sûr de la syntaxe de l'asm ici et que ça fonctionnera. J'ai jeté un oeil sur http://www.ibiblio.org/gferg/ldp/GCC...-HOWTO.html#s5 mais je suis pas sûr d'avoir tout compris...

29/05/2022, 23h07
anapurna

le mots cle asm est /etait valide dans les langage borland soit C++ et delphi
30/05/2022, 09h31
ShaiLeTroll

Citation:

Envoyé par ALEX77

Le but est de pouvoir intercepter un programme .exe avant qu'il s'exécute et d'avertir l'utilisateur. Un peu comme un antivirus comme il a été évoqué plus haut. Est-ce que c'est possible avec les "Hook" ? Pour l'instant je n'en ai pas la moindre idée...

Le but est d'intercepter un seul programme précis ou n'importe quel programme ?
Car si c'est un seul programme précis, tout cela parait d'une extrême complexité pour une chose qui pourrait être faite via un patch du programme que l'on souhaite monitorer.
Comme je disais remplacer le programme par un launcher qui lui lancerait le vrai programme (renommé, déplacé, en ressource...).
Pour XChat, j'ai procédé ainsi, j'avais un launcher NotifyXChat qui rajoutait un BallonHint des messages reçus de zone de notification par exemple car j'utilisais la version GPL dans laquelle il manquait des fonctionnalités.

Quel est le déclencheur de l'exécution du programme ?
Peut-être qu'il y a d'autres pistes à explorer.

Si c'est n'importe quel programme ... j'espère que cela ne soit pas faisable aussi facilement car empêcher de lancer un programme c'est quand même méchant comme "pouvoir" qu'un autre programme pourrait détenir.
Quel est le type d'utilisateur ?
Quel est l'environnement de déploiement ?