resolvido Monitorando arquivo

[NoSlake 56]

Salve, estou criando uma aplicação no Delphi e estou tentando fazer com que ela analise um arquivo .exe que está aberto (eu posso ter todas as permissões nesse arquivo, inclusive posso hookar a DLL no arquivo), e queria que ela me retornasse um valor (uma mensagem) quando algum programa tentar abrir o meu ".exe" ou tentar alterá-lo.

[Inoxybel 51]

Já guiei no skype, mas vou deixar aqui para os demais membros que quiserem um norte:

 

Temas a se estudar:

- Estrutura PE (Portable Executable)

- APIs:

- ReadFile()

- SetFilePointer()

- CreateFileA()

- Mais no tópico abaixo

 

Leitura recomendável:

 

http://www.webcheats.com.br/forum/visual-basic/1919643-tudo-sobre-o-formato-pe-portable-executable.html

[NoSlake 56]

Esse tópico indicadoajudou bastante, não é 100% do que eu queria, mas me deu outra ideia, monitorando o tamanho, bem como outros valores dentro do meu PE eu já consigo saber se alguém alterou.

Esse PDF é bem explicativo e pode ajudar quem quiser:

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Uma coisa, (vale constar que o executável "X" está aberto independentemente), e que eu quero que ele ficaque inalterável pra outra aplicação (retirar o WRITE)

Pensei em usar CreateFile(); e retirar as permissões de escrita, e quando eu quiser parar eu uso um CloseHandle pra deixar o arquivo alterável novamente... O que acha?

ps; nao testei pra saber se irá funcionar.

[DarkShade 52]

Faça uma checagem local via hashes de memória (md5, sha, crc32, etc) e em tempo de execução, faça o mesmo dentro da região .code da estrutura PE do mesmo.

Já para alterações da .data/.data?/etc e outros módulos (ntdll, user32, kernel32, etc), enumere as handles abertas para aquele processo e verifique se há processos com privilégios WRITE de memória.

[NoSlake 56]

Já tinha conseguido fazer o que eu pretendia (ou quase) estudando e medindo o tamanho das imagens do PE.

Valeu pela ajuda :)