[[cHackAll]]

Y bueno, no podía quedarme con los brazos cruzados por más tiempo. Alguien inició un hilo pidiendo ayuda para hacer tal cosa osada; no me vino más a la mente que dejarlo pasar pues no es algo que pueda enseñarse como usar una simple API… ahora aprovecho mi tiempo de ocio para dar a las futuras generaciones tal enseñanza del modo mas digerible posible.

Todavía no me queda muy claro cuál fue el motivo para desperdiciar de una forma tan descarada los recursos (me refiero a la forma en que el Güindos administra los procesos y su contexto). Sin embargo funciona independientemente de que sea la forma mas optima en que pueda haber sido realizado (desde mi humilde punto de vista), el funcionamiento no a cambiado substancialmente, pues hasta ahora se siguen explotando fallas lógicas que datan desde el desde el Güindos95.

Al ser cargado (ejecutado) un proceso en memoria, éste carga a su ves las librerías que necesita para funcionar adecuadamente, significa que cada proceso tiene una copia “privada” de las librerías utilizadas. Cada librería tiene funciones, y en una determinada zona tiene una lista de los punteros de las funciones exportadas; una de las formas de realizar un hook, es modificar dichos punteros de una determinada librería para que el proceso en ves de llamar la función exportada, llame a una definida por nosotros, sin embargo las funciones internamente llaman a otras funciones de la misma librería por motivos específicos, y tales llamadas se realizan directamente. Lo que permite hacer otro tipo de hook, realizar un proceso de des-ensamblado a dicha librería y modificar también las llamadas internas. Finalmente se puede realizar un proceso de Debug, sin embargo y como los anteriores requieren un amplio conocimiento y varias horas de dedicación. Esto sin tomar en cuenta a aquellos que explican la realización de un hook al mismo núcleo (kernel):

Código Delphi [-]
function NtCreateProcess(lpProcessHandle: PCardinal; dwDesiredAccess: Cardinal; lpObjectAttributes: Pointer; dwParentProcess: Cardinal; InheritObjectTable: LongBool; dwSectionHandle, dwDebugPort, dwExceptionPort: Cardinal): Cardinal; stdcall; external 'ntdll.dll';

Mi hermoso ejemplo funciona de la forma más sencilla posible, y procura no develar directamente sus encantos. Básicamente cuela una llamada al IternalHook, en la misma librería kernel32.dll la API CreateProcessInternalW, sin saber lo que hace llama a nuestra función antes de crear el nuevo proceso. Finalmente la función Decide, recibe los dos parámetros que nos importan; y como esta escrito en el ejemplo escoge cuál de ellos contiene el nombre de la aplicación, por lo que debe ser modificada para detener la creación del nuevo proceso.

Código Delphi [-]
library Hook; uses Windows; // by cHackAll
 
procedure Validate(lpFileName: PWideChar);
begin
 if MessageBoxW(0, lpFileName, 'Deseas ejecutar esta aplicacion?', MB_YESNO) = IDNO then
  lpFileName[0] := #0;
end;
 
procedure Decide(lpApplicationName, lpCommandLine: PWideChar); stdcall;                                                        // Don't change this declaration!
var
 Char: WideChar;
 len, pos: Cardinal;
begin
 if Assigned(lpApplicationName) then
  Validate(lpApplicationName)
 else
  begin
   Char := lpCommandLine[0];
   if Char = '"' then
    Inc(lpCommandLine)
   else
    Char := ' ';
   Pos := 0;
   len := lstrlenW(lpCommandLine);
   lstrlenW(lpApplicationName);
   while (pos <> len) and (lpCommandLine[Pos] <> Char) do Inc(Pos);
    lpCommandLine[Pos] := #0;
   Validate(lpCommandLine);
   if pos <> len then
    lpCommandLine[pos] := Char;
  end;
end;
 
procedure InternalHook;                                                                                                        // Don't change!
asm
 db 059h,0E8h,000h,000h,000h,000h,051h,08Bh,045h,010h,050h,08Bh,045h,00Ch,050h call Decide
end;
 
procedure Inject(api, hook: Pointer; var Dummy: Cardinal);                                                                     // Don't change!
asm
 db 083h,0C0h,00Bh,042h,042h,050h,052h,051h,06Ah,040h,06Ah,004h,050h,06Ah,0FFh,051h,06Ah,040h,06Ah,004h,  052h,06Ah,0FFh,08Bh,01Dh
 dd VirtualProtectEx+2 db 0FFh,013h,0FFh,013h,05Ah,058h,089h,0C1h,003h,008h,029h,0D1h,089h,00Ah,029h,0C2h,083h,0EAh,006h,089h,  010h
end;
 
var Dummy: Cardinal;
begin
 Inject(GetProcAddress(GetModuleHandle('kernel32.dll'), 'CreateProcessInternalW'), @InternalHook, Dummy);                      // Dont't use with other APIs
end.

La librería esta exclusivamente diseñada para realizar hook a la API CreateProcessInternalW, pues ésta es la API previa a la creación de un nuevo proceso, y ha sido escrito de tal forma que es un poco más difícil modificarlo.

La forma de puede probar la librería es la siguiente:

Código Delphi [-]
uses Windows;
var
 si: TStartupInfo = (cb: SizeOf(TStartupInfo));
 pi: TProcessInformation;
begin
 LoadLibrary('hook.dll');
 WinExec('explorer', SW_SHOW);
 CreateProcess(nil, 'notepad', nil, nil, False, 0, nil, nil, si, pi);
end.

Probado con Delphi 6, 7se, 2007. bajo Güindos eQuispe & Vista