API von Reg.exe

[Dezipaitor]

Nein, weil sie es vergessen und dann es einfach lassen. Mich interessiert es, ob es weitergeholfen hat. Dann mache ich mir nämlich einen Link darauf.

[Metal_Snake2]

also ich hab den autor von OSAM ne mail geschrieben und er hat mir folgende antwort geschrieben:

[...]
We using our technology of direct parsing of system registry, without
using any OS functions. [...]

also lesen sie die registry direkt ein ohne nen Treiber, komisch frag mich wie das gehen soll den die hives werden doch
exlusiv geöffnet.


Jedenfalls ist da wirklich was dran, den auch tools wie "SysInspector" arbeiten nur im Usermode und finden registry Einträge welche übern Kernelmode Rootkit- Treiber versteckt wurden.

Naja mein eigentliches bestrimmen war einfach halt herauszufinden wie diese Progs arbeiten.

Das mit SSDT- Hooks und co ist doch blöd, funzt das überhaupt mit Vista? Ich sollte villeicht mal echt versuchen
die Registry werte aus dem Kernel direkt auszulesen.

[Olli]

Zitat von Metal_Snake2:

also ich hab den autor von OSAM ne mail geschrieben und er hat mir folgende antwort geschrieben:

[...]
We using our technology of direct parsing of system registry, without
using any OS functions. [...]

also lesen sie die registry direkt ein ohne nen Treiber, komisch frag mich wie das gehen soll den die hives werden doch
exlusiv geöffnet.

Also erstens wird es wohl kaum ohne OS-Funktionen (die umgehen einfach die Registry-APIs) gehen ... und zweitens, wer sagt dir denn, daß die keinen Treiber einsetzen? Den kann man doch Huckepack an die EXE hängen und bei Bedarf installieren.

Zitat von Metal_Snake2:

Das mit SSDT- Hooks und co ist doch blöd, funzt das überhaupt mit Vista? Ich sollte villeicht mal echt versuchen die Registry werte aus dem Kernel direkt auszulesen.

Ja, es funktioniert bei 32bit Vista problemlos und bei 64bit Vista kann man es (wg. PatchGuard) mit ein wenig Arbeit auch erreichen. Microsoft bietet aber seit SP1 unter NDA für ISVs eine API an um sowas wie Hooks dokumentiert zu erlauben. Aber eben unter NDA.

[richard_boderich]

@Metal Snake

Zitat:
We using our technology of direct parsing of system registry.
Zitat Ende

Diese Aussage bedeutet nicht das sie keinen Treiber benutzten, sondern das sie die Registry Binär öffnen und die einzelnen
Keys parsen. (also die Strings suchen)

Zitat:
Ich sollte villeicht mal echt versuchen die Registry werte aus dem Kernel direkt auszulesen.
Zitat Ende

Aus dem Kernel direkt kannst du nix auslesen. Du kannst entweder die entsprechenden APis im Usermode nutzen (dort sind es die NT-Funktionen, also die Native APis die auf dem niedrigsten Level zugreifen) oder im Kernelmode die ZW-Funktionen. (das geht nur via Treiber)
Und damit siehts in Delphi mau aus.

mfG Richard

//Edit kannst du mir mal bitte per PN das/den Rootkit/keylogger schicken mit dem du testest?

[Metal_Snake2]

Also es gibt hier ein open source Dos Registry Viewer klack.
Es wurde in Pascal geschrieben und wird mit Open Pascal kompiliert.

Könnte ich nun die hives welche in "system32\config" sind so nun Binär auslesen?
Oder hat jemand eine Delphi fähige version?