Как определить SerailVolume через CreateFileW ?

Сейчас на форуме: Magister Yoda, subword (+9 невидимых)

Посл.ответ	Сообщение
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 05 ноября 2008 18:49 · Поправил: ToBad · Личное сообщение · #1 Хитрая программа делает вызов CreateFileW к kernel32.dll и выцепляет серийник диска на котором файл. GetVolumeInformationA я перехватываю и всё подменяю. Может в недрах CreateFileW идёт вызов GetVolumeInformationW ? Вопрос в том, где мне найти hdd serial после CreateFileW и как это делает программа? Реверсить программу не вариант, там екзекриптор был, это длл и постоянно всё валится, код погаженный. Даже на работу с реестром и на работу с файлами оля не браякется, керберос вызовов не видит, короче попа. Хуки библеотечкой Рема - помогают.

Bit-hack Ранг: 303.7 (мудрец), 4thx Активность: 0.19↘0 Статус: Участник tPORt Manager	Создано: 05 ноября 2008 19:14 · Личное сообщение · #2 Возможно открывается диск на прямой доступ и читается серийник
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 05 ноября 2008 19:15 · Поправил: Hellspawn · Личное сообщение · #3 Code: driveName := PChar(Format('\.\PhysicalDrive%d', [drive])); hPhysicalDriveIOCTL := CreateFile(driveName, GENERIC_READ or GENERIC_WRITE, FILE_SHARE_READ or FILE_SHARE_WRITE, nil, OPEN_EXISTING, 0, 0); ... DeviceIoControl(...,DFP_RECEIVE_DRIVE_DATA,...); как то так з.ы. запусти её под гостем, чтобы проверить... ----- [nice coder and reverser]
progopis Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 05 ноября 2008 20:11 · Поправил: progopis · Личное сообщение · #4 Hellspawn Ну попадалась мне программа, которая юзала именно эти API. А что будет под гостем? Нет доступа? Add: Да я уже прикинул... Вполне логично
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 05 ноября 2008 20:13 · Личное сообщение · #5 progopis прав не хватит на открытие ----- [nice coder and reverser]
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 05 ноября 2008 20:16 · Личное сообщение · #6 Я нахожусь уже в перехваченой CreateFileW. Сейчас в перехваченных вызовах GetVolumeInformationA и W делаю бесконечный цикл. Программа естественно зависает, но Process monitor успевает заметить это: Code: Operation: CreateFile Path: L:\Windows\System32\kernel32.dll Access: Generic Read Disposition: Open Options: Synchronous IO Non-Alert, Non-Directory File Attributes: n/a ShareMode: Read, Write AllocationSize: n/a Operation: QueryInformationVolume Path: L:\Windows\System32\kernel32.dll VolumeCreationTime: n/a VolumeSerialNumber: 5544-3322 SupportsObjects: False VolumeLabel: Operation: QueryAllInformationFile Path: L:\Windows\System32\kernel32.dll CreationTime: 05.11.2008 16:35:06 LastAccessTime: 05.11.2008 LastWriteTime: 18.02.2009 17:53:58 ChangeTime: n/a FileAttributes: A AllocationSize: 991 232 EndOfFile: 990 720 NumberOfLinks: 1 DeletePending: False Directory: False IndexNumber: 0xe2fe40 EaSize: 0 Access: Generic Read Position: 0 Mode: Synchronous IO Non-Alert AlignmentRequirement: Word Operation: CloseFile Path: L:\Windows\System32\kernel32.dll Как видно каким-то образом серийничек проскакивает...
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 05 ноября 2008 20:21 · Личное сообщение · #7 возможно он копирует kerne32 куда-нить под другим именем и потом подгружает её или дёргает более низкие апи: ntdll.ZwOpenFile ntdll.ZwQueryVolumeInformationFile ----- [nice coder and reverser]
progopis Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 05 ноября 2008 20:35 · Личное сообщение · #8 ToBad А что за программа если не секрет? Вместе веселей было бы посмотреть... [Offtop] "L:\Wind..." - сколько же у тебя разделов?[/Offtop]
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 05 ноября 2008 22:47 · Личное сообщение · #9 Hellspawn пишет: возможно он копирует kerne32 куда-нить под другим именем и потом подгружает её Не, это исключено. Проверял по-разному. Hellspawn пишет: ntdll.ZwQueryVolumeInformationFile Да ! Это оно !!! Супер ! Вызова идёт 3. В первых двух в возвращающем буфере 3-м dword-ом идёт серийник, возврат третьего вызова его не содержит... Буду разбираться с тем, что на входе... Спасибо всем отписавшимся !

Для печати