CACHER PROCESSUS AU CHOIX (DRIVER WIN32)

Commentaire de Patrice99 le 07/04/2006 08:51:40

C'est pour faire un virus ?

Commentaire de dominion le 07/04/2006 13:41:22

C'est quand même vachement limite... Pourquoi Windows laisse faire ça ? A mon avis la plupart des progs qui se cachent sont plutôt des virus non ?

Commentaire de BruNews le 07/04/2006 17:05:24 administrateur CS

Il ne sort pas dans la liste si on lance l'interception driver avant le listage, rien que du normal puisque c'est le driver qui sert cette liste à ceux qui la demandent.

Il est clair que ceci est à titre uniquement pédagogique, tout pourrait être détourné et mal employé par quelque malfaisant mais ce n'est pas le but ici.

Commentaire de dominion le 07/04/2006 17:24:33

Bien sûr que c'est a but pédagogique. Ma remarque était plus d'ordre disons éthique, pas du tout une critique sur le bien fondé de poster cette source.
Mais c'est quand même fort étonnant que le système puisse ainsi cacher n'importe quel processus. Cacher un processus sensible, fort bien, mais logiquement ces processus sont par défaut cachés par Windows, puisque logiquement ces même processus font partie intégrante de Windows (en espérant être clair...).

Enfin bref, c'est vrai que ça peut être fort utile dans beaucoup de cas.

Commentaire de BruNews le 10/04/2006 23:33:56 administrateur CS

Installer d'abord le DDK, se mettre sur la console free pour win2k ou XP ou Server 2003, se placer au niveau du dossier bnhide et entrer 'build cZg'.

Commentaire de patoch14 le 20/04/2006 16:11:15

bonjour a vous quand je telecharge le zip j'ai pas l'exe. serais t'il possible de me l'envoyer s'il vous plait. sephiroth14@hotmail.fr. d'avance merci

Commentaire de flothedancer le 11/05/2006 12:20:21

Bonjour à tous,

Je suis nouvelle et je débute dans la programmation windows.
Ces sources sont très bien écrites et très utiles.
Est-il possible de récupérer tous les processus commençant par svchost?
J'ai essayé en rajoutant dans le code du driver bnhide cette ligne:

if(RtlCompareMemory((PVOID)&pprcss->ProcessName.Buffer[0],(PVOID)&dts.name[0], dts.len*2)==dts.len*2)
{
  len = pprcss->NextEntryDelta;
  if(len) {
pdst->NextEntryDelta += pprcss->NextEntryDelta;
goto goNEXT;
  }
}

à la place de celle-ci:

if(RtlCompareUnicodeString(&pprcss->ProcessName, &uncExclude, 1)) goto noFOUND;

Cependant je n'obtiens aucun résultat! Plus aucun processus n'est dissimulé!

Si vous avez des conseils à me donner, je vous en serais très reconnaissante!

Commentaire de flothedancer le 11/05/2006 13:53:43

merci de ta réponse rapide.
Par contre cette ligne de code fait planter le taskmanager.
En fait elle ne retrouve pas les processus demandés, puisqu'elle cache TOUS les processus et c'est pour cette raison que le taskmanager plante.
Mon but est de cacher une liste de processus que je peux identifier en les nommant d'une façon particulière.
Je cherche un moyen de repérer un début de chaine dans les processus.

Merci pour ton aide.

Commentaire de vecchio56 le 27/05/2006 13:39:03 administrateur CS

J'essaie de comprendre le code, mais j'ai un peu de mal a me mettre dedans. Je pense qu'il faut sans doute un peu bouquiner sur les drivers avant.
Je voudrais donc savoir si Programming the Microsoft Windows Driver Mode de Walter Oney était un bon ouvrage?

Commentaire de vecchio56 le 27/05/2006 14:09:45 administrateur CS

OK, dans ce cas je m'y mets, on verra bien ce que ca donne

Commentaire de BruNews le 31/05/2006 21:42:24 administrateur CS

Je ne connais pas d'outil qui le fasse mais sait-on jamais...
Serait surement possible de lister (uniquement depuis le kernel mode) mais sans les sources Windows faut pas y songer, même avec serait un gros boulot.

Commentaire de vecchio56 le 18/06/2006 16:15:07 administrateur CS

Petit outil permettant d'afficher tous les processus, même ceux qui sont cachés:
http://www.security.org.sg/code/kproccheck

Commentaire de BruNews le 12/10/2006 23:54:46 administrateur CS

Je n'ai jamais fait de debug et donc jamais utilisé non plus debugger de compilo.

Pour ce genre de petit driver, on n'en a vraiment aucun besoin si on fait bien gaffe de respecter les specs MS.
Il est clair que si c'était du driver matériel devant gérer tous les aléas possibles, il faudrait faire le traçage réseau comme indiqué dans le DDK.

Commentaire de BruNews le 15/12/2006 22:51:41 administrateur CS

SHOW / HIDE DANS TASKBAR (WIN32, ASM)
http://www.cppfrance.com/code.aspx?id=21205

Sinon suffit de faire une fenetre non affichée tout au début et ensuite de mettre la 1ere fenetre du prog en fille de celle ci, ainsi rien dans la taskbar.

Commentaire de rivsc le 10/01/2007 23:21:18

A ZIBO3 et BruNews:

Euh FreeConsole() ne suffirait-il pas à cacher la fenêtre (dans la barre des taches, et dans la liste des appli) ?

Commentaire de rivsc le 11/01/2007 12:21:05

"Dans tous les cas, je ne verrais pas l'utilité de faire une console si c'est pour la masquer." BruNews

Normal il n'y a aucune utilité à cela, le but de la chose étant de cacher la fenetre en 5 lignes.

void main()
{
FreeConsole();
return;
}

"autant faire un prog Win App GUI commençant en WinMain qui ne créera pas de fenêtre".

Ca c'est parce que j'ai mes petites habitudes (faire un void main()) :-)

Commentaire de maincode_cpp le 16/01/2007 13:51:54

HeavenForsaker , le code ne marchera pas sous vista a cause de patchguard qui verifie tt le temps la SSDT :\ (du moins en X64) voila la raison du caca nerveux de norton :)

Commentaire de BruNews le 20/01/2007 20:43:17 administrateur CS

Le prob avec la version 64 c'est qu'on est seul et que tous les progs sont en 32, personne n'en veut à commencer par les gros éditeurs et avec raison, ça n'apporte strictement rien en perfs.

Commentaire de BruNews le 09/04/2007 10:34:09 administrateur CS

"makefile" est repris du DDK, "source" idem sauf qu'il faut l'éditer pour modifs. Je ne compile donc pas avec VC++, simple histoire de confort d'éditeur.

Commentaire de BruNews le 02/07/2007 17:48:24 administrateur CS

Je vais faire les derniers Win Update sur un XP SP2 et je testerai ensuite, peut-être  il y a eu protection de zone sensible d'ajoutée.

Commentaire de nutz007 le 03/07/2007 15:22:04

Merci quand même ;)
J'ai trouvé le solution à mon problème, en passant par un code assembleur que j'ai trouvé en fouillant le web :

Pour la fonction HookServices() :
  unsigned long OldCr0;
  _asm{
cli;
mov eax,cr0
mov OldCr0,eax
and eax,0fffeffffh
mov cr0,eax
mov     ecx, dword ptr [ZwQuerySystemInformation];
mov     edx, [ecx+1];
mov     eax, dword ptr [KeServiceDescriptorTable];
mov     esi, [eax];
mov     edx, [esi+edx*4];
mov     dword ptr [OldNtQuerySystemInformation], edx
mov     ecx, [ecx+1]
mov     eax, [eax]
mov     dword ptr [eax+ecx*4], offset bnQuerySysInfo;
mov eax,OldCr0
mov cr0,eax
sti;
  }

Pour la fonction UnHookServices() :
  unsigned long OldCr0;
  _asm{
cli;
mov eax,cr0
mov OldCr0,eax
and eax,0fffeffffh
mov cr0,eax
mov     ecx, dword ptr [ZwQuerySystemInformation];
mov     edx, [ecx+1];
mov     eax, dword ptr [KeServiceDescriptorTable];
mov     esi, [eax];
mov     ebx, dword ptr [OldNtQuerySystemInformation];
mov     [esi+edx*4],ebx;
mov eax,OldCr0
mov cr0,eax
sti;
  }

Pour info, l'adresse où j'ai trouvé ce code : http://aliwy.77169.com/archives/2007/91263.html

Si y'en a qui se sentent de tester sur d'autres OS que windows XP avec ce code ... ;)
Merci BruNews !

nutz

Commentaire de BruNews le 03/07/2007 21:31:33 administrateur CS

Le registres CR0 (0 to 5) contient différents flags qui régissent le mode de fonctionnement (PE, alignement exception, etc....).
Faudrait fouiller dans les manuels Intel pour savoir lequel c'est.

Commentaire de HeavenForsaker le 03/07/2007 21:38:47

ok, thx BN

étrange cette histoire de BOSD, j'ai testé le code sous 2000/XP/Vista 32bits ça marche impec.

Commentaire de vbnino le 21/08/2007 14:26:09

Salut!

  Trés bon sources , mais pour-quoi avast me dit que le fichier bnhide.sys et infécté par Win32:Trojan-gen

Commentaire de BruNews le 21/08/2007 17:43:26 administrateur CS

Je n'ai pas d'antivirus, ça évite d'avoir ce genre de message crétin.
A part si on va sur grossecoche.com, ne sert strictement à rien.

Commentaire de Renfield le 22/08/2007 10:31:43 administrateur CS

si on sais ou on va et ce qu'on lance ...

Commentaire de Erucia le 20/03/2008 15:36:11

Bonjour à tous,

ce programme m'interresse mais je n'ai pas le .exe dans le zip c'est normal ? ou alors il faut que je compile moi même cette source ? mais comment ?
Merci d'avance

Commentaire de ImmortalPC le 17/05/2008 00:32:26

Salut !
Tr?s beau travail !

N?anmoins j' ai un petit probl?me assez g?nant :
Le programme ne marche pas normalement.

- Je lance MngHide.exe ( pas de probl?me ?a marche )
- Je click Installer et l? malheur reboot sans avertissement ni message. ( c' est normal ? )
- Essaie n?2 : je lance et je rentre le nom de mon prog ( prog.exe ) et je click envoyer.
R?sultat, un message d' erreur : ERR OPEN DEVICE

J' ai pas d' id?e l? :S
De plus quel compilateur utilises tu ? Perso j' ai GCC et j' ai plein d' erreurs.

@+

Commentaire de ImmortalPC le 17/05/2008 11:48:08

Salut !

J' ai Win SP1 ( XD ) donc pas d' UAC.
SP1 serait il immunise ? ^^
Sinon j' ai essaye : http://dev.winsysdev.com/src_Cacher-un-processus_9.aspx
et meme probleme :'(
Apres quelque recherche, Cheat Engine ( programme d' edition d' une application en memoire ) utilise un systeme similaire et ?a ne me fait pas planter le systeme.
Une id?e ?

@+

PS: Normal que je vois pas les caracteres avec des accents de mon post et du tien ?
PS 2: J' ai pas mit d' accents pour que se soit lisible.

Commentaire de Nix le 17/05/2008 14:31:49 administrateur CS

Je viens de corriger le problème d'accent, désolé une modif sur le site hier semble avoir provoquer ce problème dans les dépôts de commentaires :/

Commentaire de Nix le 17/05/2008 17:48:05 administrateur CS

Vecchio, vides ton cache, car mon post au dessus a bien fonctionné, tu as peut-être un javascript en cache qui n'est pas à jour.

Commentaire de ImmortalPC le 18/05/2008 11:34:09

Salut !

"Pour l'exception générée, teste en modifiant le registre CR0 comme indiqué par NUTZ007."
>> Je teste ça ;) ( 236 Mo à télécharger XD c' est des fous chez microsoft )

Merci Nix pour la réparation :D

@+

Commentaire de Heandel le 05/10/2008 18:27:24

Excellent, merci à toi ;)

Ce que tu as programmé est également utilisé par la plupart des bons programmes de protection de la mémoire, comme ceux qu'on voit sur les jeux en ligne.
Citons par exemple HackShield, GameGuard, XTrap... etc.

Il est toutefois possible d'accéder au processus avec openprocess.

Encore bravo :)

Commentaire de lucfrfr le 19/05/2009 10:02:39

je n'arrive pas non plus a extraire le fichier .sys

Commentaire de taggle le 27/10/2009 21:04:19

je voudrais supprimer la textbox, pour cacher uniquement un processus "norton.exe" en appuyant sur ok. quelle variable changer dans le code?

sinon ba je pige pas tout mais ca marche bien sur vista :)

Commentaire de BruNews le 11/11/2009 08:47:50 administrateur CS

En étudiant le code, tu devrais trouver les parties à modifier.

Commentaire de guiguit83 le 11/11/2009 19:25:58

ouep je viens de matter , compliqué tout ca, chui bien meilleur en php lol , ya  pas une ame généreuse pour la compile pour plusieur exe .
merci .a++++

Commentaire de BruNews le 12/02/2010 16:01:14 administrateur CS

Il n'y a psa de ça dans le ZIP.

Commentaire de ernest_hemingway07 le 07/10/2010 14:16:51

salut les gars je suis debutan en language c svp quelqun m'explique ces ligne
#define IOCTL_NAME_PRCSS CTL_CODE(40000, 0x900, METHOD_BUFFERED, FILE_ANY_ACCESS);
la fonction bntrimfai qoi juste
aussi la function MyPathSys()
{
  char *c, *d;
  d = szflsys + GetModuleFileName(0, szflsys, 300);
  while(*d != '\\') d--;
  c = sznamesys;
  d++; // LAISSER LE '\\'
  while(*d = *c) {c++; d++;}
  *d = '.'; *(d+1) = 's'; *(d+2) = 'y'; *(d+3) = 's'; *(d+4) = 0;
}