Реверсинг диалога о завершении работы Windows

Сейчас на форуме: _MBK_, tyns777, UniSoft (+11 невидимых)

Посл.ответ	Сообщение
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 14 июня 2012 15:52 · Личное сообщение · #1 Всем хай. Ситуация следующая, Windows XP SP3, в течении некоторого времени пытаюсь отреверсить и воспроизвести функционал меню Пуск -> Завершение работы. Т.е. хочу создать такой диалог программно. После определённого исследования (всего исследования я уж не помню, буду описывать то, что ещё помнится) удалось выяснить, что в explorer.exe подгружается msgina.dll, потом по ординалу ищется и вызывается функция под номером 16 (10h). Внутри этой функции CreateWindowExW создаёт окно, потом после ShowWindow моё приложение ведёт себя странно, а explorer.exe - адекватно. Т.е. эксплорер отображает окно, а мой софт, в случае, если пашет под Olly - вешает систему (выходом является нажатие Ctrl+Alt+Del и завершение процесса отладчика). Без отладчика софт просто не отображает окно, но система не вешается. В дебаггере решил ресёрчить причину. Т.к. перед созданием окно вызывается RegisterClassExW, отсюда можно определить lpfnWndProc, определил - это CDimmedWindow__WndProc. Поставил на него бряк, последний (перед зависанием) бряк показал, что обрабатывается сообщение WM_WINDOWPOSCHANGING. Вышел я из этой CDimmedWindow__WndProc, дотопал до XyCallbackReturn, а потом (собственно, как и описывается --> Здесь <--), отправился в ядро посредством int 2Bh . После чего всё подвисло. Пробовал зайти с другой стороны, запускал оконное приложение, через Spy++ отслеживал очередь сообщений, и смотрел, что произойдёт после отображения пресловутого окна. Так вот пока окно активно - очередь пуста (может, она не пуста, просто строки в эдите Spy++ появляются только после того, как отмену нажать), а как только нажимаю отмену, то множество сообщений сразу передаются оконной процедуре. Первым из них обрабатывается WM_SYNCPAINT. Так вот я в своём оконном софте сделал так, чтоб при обработке этого сообщения моя софтина просто входила бы в бесконечный цикл, но это не повесило систему, значит моя догадка о том, что при создании этого окна о завершении работы система рассылает некие сообщения топ-левел окнам, неверна. Да, рассылка происходит, но при выборе какого-то из пунктов (перезагрузка, завершение работы), но не при отрисовке окна выбора. А началось всё с того, что на одном из компов этот диалог завершения работы перестал отображаться. Причём эффект тот же, что и для моей самописной софтины - попытка завершения работы вешает систему. WTF? Натолкните на мысль, что бы ещё можно бы такое сделать/посмотреть/поресёрчить и как, а то уже идеи закончились. Проект на 2010 студии прикладываю, где моё приложение вызывает зависание под олькой, и завершается без неё, но не рисует диалог. 4098_14.06.2012_EXELAB.rU.tgz - GinaTest.rar ----- Stuck to the plan, always think that we would stand up, never ran.

mdscorp Ранг: 47.6 (посетитель), 15thx Активность: 0.03↘0.02 Статус: Участник	Создано: 14 июня 2012 17:01 · Поправил: mdscorp · Личное сообщение · #2 "rundll32 ExitWindowsEx" а через командную строку параметр завершения работы передать не проще ? Code: ShellExecute(handle, "open", shutdown -f -s -t 0, NULL, NULL, SW_SHOWNORMAL); "shutdown -f -s -t 0 " и да, сами ресурсы окна находятся в ntoskrnl.exe
-=AkaBOSS=- Ранг: 150.3 (ветеран), 175thx Активность: 0.16↘0.07 Статус: Участник	Создано: 14 июня 2012 17:03 · Личное сообщение · #3 возможно, чуть не в тему из своих экспериментов я помню, что этот диалог открывается также, если послать WM_CLOSE окну с заголовком "Program Manager" и классом "Progman" btw. а в чём суть исследования? вернуть на поврежденный комп диалог завершения работы? или просто сымитировать функционал оригинального диалога? \| Сообщение посчитали полезным: TLN
Flint Ранг: 238.8 (наставник), 67thx Активность: 0.2↘0 Статус: Участник CyberHunter	Создано: 14 июня 2012 17:15 · Личное сообщение · #4 У Руссиновича почитайте главу 4 "Запуск и завершение работы системы" ----- Nulla aetas ad discendum sera
yagello Ранг: 72.1 (постоянный), 30thx Активность: 0.05↘0 Статус: Участник	Создано: 14 июня 2012 20:11 · Личное сообщение · #5 Возможно, система не вешается, а пытается отобразить какой-то диалог и не может это сделать. Вообще подозреваю, что DimmedWindow берет текущую картинку десктопа, а потом в ней палитру крутит в сторону обесцвечивания. Соответственно, если это не десктоп, а статик картинка, то ничего программа отобразить не сможет. Тем более через ГУЙ, который остановлен в это время.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 14 июня 2012 21:26 · Поправил: ARCHANGEL · Личное сообщение · #6 Ответы по порядку. mdscorp Написать софт, который бы также вызывал ExitWindowsEx - не проблема, и тут можно обойтись без rundll32.exe, тем более, что так как вы указали - работать не будет, ибо надо указать имя_либы имя_функи в качестве параметров, но я вас понял. Интерес именно знать, почему вдруг стандартный диалог перестал работать. -=AkaBOSS=- пишет: из своих экспериментов я помню, что этот диалог открывается также, если послать WM_CLOSE окну с заголовком "Program Manager" и классом "Progman" Да, но только потом произойдёт всё тоже самое - explorer подгрузит msgina.dll и начнётся та же канитель. Flint пишет: У Руссиновича почитайте главу 4 "Запуск и завершение работы системы" Читал, но там не то, ибо там описывается, что происходит при завершении работы системы, а мне нужно знать, что происходит при отрисовке предложения о завершении работы, т.е. если вывелось это окно, то я могу и не завершать работу - нажму "отмена" и дальше буду работать, и завершения не произойдёт. yagello Вот и я так подумал. Поэтому стал трейсить функцию с ординалом 16. В ней CreateWindowEx завершается норм, куда дальше смотреть - я не догадался пока. Но у вас так много идей, не подскажете, как оно может "крутить палитру в сторону обесцвечивания", а я попробую это проверить. ----- Stuck to the plan, always think that we would stand up, never ran.
ajax Ранг: 337.6 (мудрец), 224thx Активность: 0.21↘0.1 Статус: Участник born to be evil	Создано: 14 июня 2012 22:12 · Личное сообщение · #7 ARCHANGEL пишет: как оно может "крутить палитру в сторону обесцвечивания" чисто по логике, там не именно десктоп, а скрин (все окна). хотя, хз. мож сырки win2k глянуть по этому поводу? ----- От многой мудрости много скорби, и умножающий знание умножает печаль
neomant Ранг: 164.6 (ветеран), 65thx Активность: 0.12↘0 Статус: Участник Волшебник	Создано: 14 июня 2012 22:25 · Поправил: neomant · Личное сообщение · #8 Как то странно, что функа получает указатели на два нулевых дворда. Это вполне себе могут быть какие-то предустановленные структуры. Я бы лучше поковырял 16 функцию и ближайшее место её вызова. ----- Следуй за белым кроликом
Hexxx Ранг: 481.4 (мудрец), 109thx Активность: 0.18↘0 Статус: Участник Тот самый :)	Создано: 15 июня 2012 00:33 · Поправил: Hexxx · Личное сообщение · #9 Имхо надо курить --> Link <-- И диалог не выводится скорее всего из-за того, что какие-то настройки джины накрылись. Или поставили какую-то хрень для аутентификации, которая мешает работе джины. Отладку джины надо делать установив специальные ключи в реестре, там не все так просто, иначе вешаться будет. ----- Реверсивная инженерия - написание кода идентичного натуральному
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 15 июня 2012 00:34 · Личное сообщение · #10 neomant пишет: Как то странно, что функа получает указатели на два нулевых дворда. На такую мысль натолкнули два вызова IsBadWritePtr в начале функции, где ucb был равен 4. Но ещё посмотрю - может, высмотрю что-то. ajax Пока не нашёл там ничего полезного. ----- Stuck to the plan, always think that we would stand up, never ran.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 15 июня 2012 10:21 · Личное сообщение · #11 ARCHANGEL Большая часть функций есть в MSDN, есть исходники msgina, к чему реверс? В атаче сурсы, грузи dll в IDA, грузи PDB и сравнивай с исходниками ибо я никогда сам не интересовался вызовом этого диалога, ибо он мне не нужен, так что мне лень для тебя искать. 1c1c_15.06.2012_EXELAB.rU.tgz - gina.rar
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 15 июня 2012 11:32 · Поправил: ARCHANGEL · Личное сообщение · #12 F_a_u_s_t Такие сорцы я видел в составе пака сорцов Windows 2000, но, несмотря на то, что папка называется gina, сорцов самой джины там нет, есть только winlogon.exe и userenv.dll. Не знаю, правильно ли я понял содержимое MSDN, но, похоже, аналогичный диалог должен вызваться при обращении к WlxActivateUserShell. В описании меня смущают такие строки: Before calling WlxActivateUserShell, Winlogon sets the desktop state so that the current desktop is the Winlogon desktop and sets the workstation state so that the desktop is locked. Т.е. если этого не сделать, может ли происходить такое зависание? Hexxx Прочитал про отладку джины --> Здесь <--. Получается, что я не могу так просто подгружать её к своему процессу и что-то из неё вызывать? Я должен все вызовы делать из Winlogon.exe, что ли? Но тогда почему вызов этого диалога из explorer.exe работает. Нет, там видимо, имели ввиду отладку функций завршения сеанса, блокирования рабочего стола, аутентификации и т.д., т.е. спец.функций джины. Да и нигде не говорится, что без отладочных флажков и отладочной версии винлогона система будет виснуть, откуда такая информация? ----- Stuck to the plan, always think that we would stand up, never ran.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 15 июня 2012 11:51 · Поправил: F_a_u_s_t · Личное сообщение · #13 ARCHANGEL В исходниках есть часть wlx функций. Судя по написанному может виснуть, сам не сталкивался. Вот что ахтунги с microsoft советуют юзать, сам не пробовал. --> Link <-- Add: Посмотрел твой семпл... ShellDimScreen эта функа дает только эффект затенения, она ничего не выключает.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 15 июня 2012 12:21 · Личное сообщение · #14 F_a_u_s_t Да, этот эффект мне и надо воспроизвести. А то у меня (если запускать этот сэмпл) нет никакого эффекта. ----- Stuck to the plan, always think that we would stand up, never ran.
==DJ==[ZLO] Ранг: 74.4 (постоянный), 76thx Активность: 0.05↗0.1 Статус: Участник	Создано: 15 июня 2012 14:01 · Личное сообщение · #15 ARCHANGEL Может не по теме , вроде такой эффект CureIt! от веба делает. Посмотри что там да как.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 15 июня 2012 14:20 · Поправил: F_a_u_s_t · Личное сообщение · #16 typedef HRESULT (__stdcall ShellDimScreen) (IUnknown Unknown, HWND hWindow); HMODULE _ShellDimScreen(HWND hWindow) { HMODULE Dll = LoadLibraryA("msgina.dll"); if (Dll != NULL) { IUnknown* Unknown; ShellDimScreen Func = (ShellDimScreen) GetProcAddress(Dll,(LPSTR) 16); Func(&Unknown, &hWindow); return Dll; } else return NULL; } Add: Надо было сразу уточнить. Ждемс новый винлокер. Скомпиленный семпл. 335e_15.06.2012_EXELAB.rU.tgz - GinaTest.rar \| Сообщение посчитали полезным: ==DJ==[ZLO], ARCHANGEL, Flint
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 15 июня 2012 14:56 · Поправил: ARCHANGEL · Личное сообщение · #17 F_a_u_s_t Вау, какой эффект Блин, прав был neomant - надо было мне больше ресёрчить эту #16, и там действительно не указатели на два нулевых дворда. Ладно, буду разбираться. Но, что интересно, этот эффект серости возникает только если я не дебажу софт отладчиком (OllyDbg). Под дебаггером стабильно вешает все приложения. Но это уже что-то. ----- Stuck to the plan, always think that we would stand up, never ran.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 15 июня 2012 15:02 · Личное сообщение · #18 ARCHANGEL CureIt на сколько я помню свое окно создает которое перекрывает рабочий стол, ибо совместимость с другими осями. А проблемы с отладкой из за того что gina это часть winlogon, плюс com == ахтунг, ms вообще пугает что винда может слететь, там специально встроена такая куйня, как логирование.
Flint Ранг: 238.8 (наставник), 67thx Активность: 0.2↘0 Статус: Участник CyberHunter	Создано: 15 июня 2012 15:22 · Личное сообщение · #19 F_a_u_s_t пишет: Ждемс новый винлокер. Code: .386 .model small, stdcall option casemap :none assume fs:nothing include \MASM32\INCLUDE\kernel32.inc include \MASM32\INCLUDE\user32.inc include \MASM32\INCLUDE\ntdll.inc include \MASM32\INCLUDE\gdi32.inc include \MASM32\INCLUDE\windows.inc includelib \MASM32\LIB\kernel32.lib includelib \MASM32\LIB\user32.lib includelib \MASM32\LIB\ntdll.lib includelib \MASM32\LIB\gdi32.lib ; ######################################################################### .data text db "ВАШ КОМПЬЮТЕР ЗАБЛОКИРОВАН.", 0 fontname db "Arial", 0 msgina db "msgina.dll",0 ptitle db "Эффект затенения", 0 ptext db "Проверка программы", 0 .data? DC db 4 dup (?) ShellDimScreen dd ? x dd ? .code start: call GetDesktopWindow push eax call GetWindowDC mov dword ptr ds:[DC], eax push TRANSPARENT push dword ptr ds:[DC] call SetBkMode push White push dword ptr ds:[DC] call SetTextColor push offset fontname push DEFAULT_PITCH or FF_ROMAN push DEFAULT_QUALITY push CLIP_DEFAULT_PRECIS push OUT_DEFAULT_PRECIS push RUSSIAN_CHARSET push 0 push FALSE push FALSE push 400 push 0 push 0 push 0 push 50 call CreateFontA push eax push dword ptr ds:[DC] call SelectObject push offset text call lstrlenA push eax push offset text push 150 push 150 push dword ptr ds:[DC] call TextOutA call GetDesktopWindow push dword ptr ds:[DC] push eax call ReleaseDC push offset msgina call LoadLibraryA push 16 push eax call GetProcAddress mov dword ptr ds:[ShellDimScreen], eax push offset x push offset x call eax push 0 push offset ptext push offset ptitle push 0 call MessageBoxA push 0 call ExitProcess end start ; ######################################################################### )) ----- Nulla aetas ad discendum sera
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 15 июня 2012 18:56 · Поправил: F_a_u_s_t · Личное сообщение · #20 Flint Зачет. ARCHANGEL Тут знакомый семпл подкинул (где то подобрал на просторах интронета) там этот эффект реализован без зависимости от msgin, будет работать и на XP и на Seven. Код на Delphi но WinApi так что с переводом проблем не будет. Даешь винлокеры с поддержкой скинов пролетариату. Add: Атач забыл. 4e18_15.06.2012_EXELAB.rU.tgz - Attach.rar
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 15 июня 2012 19:04 · Личное сообщение · #21 F_a_u_s_t пишет: Даешь винлокеры с поддержкой скинов пролетариату. А был же какой-то винлокермэйкер, можно было менять цвет текст и еще что-то.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 15 июня 2012 19:14 · Личное сообщение · #22 Не надоело ещё ерундой заниматься с локерами? Посты выпиливать лишние буду.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 18 июня 2012 13:00 · Поправил: ARCHANGEL · Личное сообщение · #23 F_a_u_s_t Смотрел я на ваш пример, сделал свой, вроде бы, один в один, а не работает. Не подскажете, что не так? --> Пример <-- Код, который на Delphi - это хороршо, но мне нужно изучить именно алго работы ShellDimScreen для устранения вышеописанной проблемы, а, как я понял, этот код и код на делфях - не одно и то же. А к локерам мои изыскания никаких отношений не имеют, ибо я не пытаюсь его (локер) написать, и не пытаюсь после него восстанавливать систему. Добавлено Уже и так делал: Code: IUnknown* lp; , а ничего не меняется и не работает. ----- Stuck to the plan, always think that we would stand up, never ran.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 18 июня 2012 13:26 · Личное сообщение · #24 ARCHANGEL Code: typedef HRESULT (__stdcall ShellDimScreen) (IUnknown Unknown, HWND hWindow); HMODULE _ShellDimScreen(HWND hWindow) { HMODULE Dll = LoadLibraryA("msgina.dll"); if (Dll != NULL) { IUnknown* Unknown; // Обязательно ибо com. ShellDimScreen Func = (ShellDimScreen) GetProcAddress(Dll,(LPSTR) 16); // hWindow HANDLE окна в котором вызываешь функу. Func(&Unknown, &hWindow); return Dll; } else return NULL; } Мой семпл, в написании использовался самопальный класс типа mfc ну думаю суть поймешь. Code: typedef HRESULT (__stdcall ShellDimScreen) (IUnknown Unknown, HWND hWindow); HMODULE _ShellDimScreen(HWND hWindow) { HMODULE Dll = LoadLibraryA("msgina.dll"); if (Dll != NULL) { IUnknown* Unknown; ShellDimScreen Func = (ShellDimScreen) GetProcAddress(Dll,(LPSTR) 16); Func(&Unknown, &hWindow); return Dll; } else return NULL; } int WINAPI WinMain (HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpszArgument, int CmdShow) { CWindow window; char* ClassName = "MyApp"; char* Name = "Example"; window.Create(hInstance, ClassName, Name); HMODULE Dll = _ShellDimScreen(window.hWindow); // Вызываем функцию window.Show(CmdShow); // Тут идет цикл обработки сообщений окна, суть не важна, можно прям там //воткнуть вызов. if (Dll != NULL) FreeLibrary(Dll); // тут понятно, освобождаем хендл джины. // еще надо Uncnown.Release(); забыл написать. <img src="http://exelab.ruimg/smilies/s1.gif" border="0" align="" alt=""> return 0; } У тебя просто нет задержки, оно срабатывает и сразу закрывается, делай или в цикле обработки сообщений или перед ним. \| Сообщение посчитали полезным: ARCHANGEL
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 18 июня 2012 13:47 · Личное сообщение · #25 F_a_u_s_t Добавил Code: ShowWindow((HWND) a2,nCmdShow); while (GetMessageA(&Mess,NULL,0,0)) { TranslateMessage(&Mess); DispatchMessageA(&Mess); } И всё заработало! ----- Stuck to the plan, always think that we would stand up, never ran.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 18 июня 2012 14:01 · Личное сообщение · #26 ARCHANGEL Мои поздравления.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 20 июня 2012 11:29 · Личное сообщение · #27 В ходе изучения проблемы выяснилась следующая, весьма интересная, ситуация. При выключении компьютера диалог Завершения работы не то, чтоб не создавался, а создавался очень долго - появления этого диалога можно ожидать минутами. В ходе поиска в гугле, ресёрча с дизассемблером и активной помощи F_a_u_s_t была проведена аналогия с диалогом ShellShutdownDialog, и ситуация - идентичная. Проблема оказалась в функции WUCheckForUpdatesAtShutdown, знаете, иногда возникает такая ситуация, что перед выключением система предлагает установить обновления, и уже только потом выключить комп, либо же не устанавливать апдейты и выйти. Вот эта функа и проверяет, есть ли такие апдейты, которые следует установить. Внутри неё торможение происходит при вызове CoCreateInstance, и вообще жутко тормозит любая работа с COM - объектами. Что самое интереное, так это то, что всё неизменно тормозит на ZwRequestWaitReplyPort, и тут возникает вопрос - возможна ли такая ситуация, что проблема кроется ни в COM-интерфейсах и объектах, а в RPC или же LPC? И что по этому поводу можно почитать? ----- Stuck to the plan, always think that we would stand up, never ran.
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 20 июня 2012 11:35 · Личное сообщение · #28 ARCHANGEL У меня как то был косяк с RPC так все через попу работало, так что вполне может, с LPC не разу проблем не было.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 20 июня 2012 13:34 · Личное сообщение · #29 А решение проблемы было (и есть) --> Здесь <--. Спасибо F_a_u_s_t. ----- Stuck to the plan, always think that we would stand up, never ran.

Для печати