RMS 5.1 c отправкой ID и pass на почту.

скинь плиз рабочее на хп

Добавлено через 1 минуту

там нужно редактировать через инсталшиелд удалив все ярлыли из пуска и установленных программ. я сделал у меня не заносится при установке

 

а мануальчик не скинешь подробный?

 

Кто копался в 5.3.1 версии сервера?
Пытаюсь вылечить от InternetID предупреждения на 7 и 8.
В целом всё выглядит так:
Rutserv вызывает csrss.exe а тот создает thread и из DLL winsrv.dll вызывает окно через API user32.MessageBoxTimeoutW.
Я пытаюсь перехватить эту API библиотекой apihijack.cpp но безрезультатно. Что за нах?

 

а как вообще добиться этого предупреждения? а то у меня ничего не вылазит.

 

Народ у кого-нибудь осталась статья как переименовать rfusclient.exe , rutserv.exe hex редактором?

 

scandalist!
Все как и раньше.Нужно перехватывать функу MessageBoxW и еах должен возвращать
6.

 

Начиная с версии 5.3 на Win 7 и 8 oledlg.dll не работает, так что мимо. Окно сообщения об отправке имеет родителем процесс csrss.exe Наблюдение за вызываемыми API показало:

Лезть в память процесса csrss не получается, вероятно нужны права отладчика.

 

scandalist,
у меня 5.3 проверял на win 7 8 oledlg.dll работает

 

Не понимаю, почему у меня не пашет. И у других, с сообщения #1238 жалобы.
Может у вас в режиме совместимости с XP запускается или из без админских полномочий?

 

scandalist!
А что те мешает пропатчить в памяти функцию по адресу 006F5240 в самом rutserv.exe,которая вызывается 2 раза,один для xp,другой для систем выше.Заходишь по этому адресу и
в самом начале делаешь вот так:
mov eax,6
ret
Можно и по другому извратится,но так проще.

 

Можно попробовать, но такой патч в памяти сработает только для этой версии. Надо придумывать поиск в памяти нужного паттерна, а я недостаточно сведущ в программировании, точнее практически ноль.
К тому же начало этой подпрограммы банальное и встречается как минимум 10 раз.
Надо дальше думать.
UPD. Этот патч работает для XP и 7. Осталось понять как сделать его универсальным.

 

Все правильно!Для универсальности надо перехватывать функу WTSSendMessageW,которая и создает это сообщение на 7 и в своем обработчике делать вот так:

proc NewWTSSendMessage Server,SessionId,Title,TitleLengt,Message,MessageLength,Style,Timeout,Response,Wait
mov edx,[Response]
mov dword[edx],6
mov eax,1
ret

В аттаче тестовая дллка кторая в зависимости от версии системы перехватывает нужную функу.

http://www.sendspace.com/file/321nor

 

Библиотека работает, но как я понял глушит все WTSSendMessageW и MessageBoxW без разбору.
Как я понял написана библиотека на FASM, я пытался на С++ сделать, но не получается перехватить WTSSendMessageW.
Как я понимаю, поскольку WTSSendMessageW нет в импорте rutserv.exe то этот хук надо делать глобальным?
В указанной библиотеке перехват делается через установку INT3 на вызов функции, а потом через перехватчик обрабатывается.

 

проблеми с скачиванием (нажимаю скачать - не скачиваит)

 

Совершенно верно,но это не влияет на работоспособность программы,да и не нужны какие либо сообщения.Ну если так хочется,то можно и фильтровать по характеристике мессаги.

Все можно перехватить,хоть на си,хоть на басике.Это говорит лишь о том,что у тебя не достаточно знаний по этой теме.

Хук не глобальный,а локальный,только для одного приложения,а не системы в целом.Недостаток многих апи шпионов в том,что они смотрят только в импорт,а если апишки вызываются динамически,то оказываются бесполезными.

Да,там используется векторная обработка исключений,ставится INT3 бряк на начало функции,а затем обрабатывается и переходит на заглушки,которые только очищают стек и возвращают нужный результат.
Оригинальные апишки не вызываются.В данном случае,просто нет в этом необходимости.

Добавлено через 4 минуты

Все нормально качается.

 

то можно мониторить getprocaddress, если уж копаться только в импорте.
правда не ясно, что скажет рмс на нуль.

 

при когда инсталюю серв выскакивает
как убрать?

 

Новогодняя сборка.

C Новым Годом!
Решил к празднику выложить последнюю версию сервера. Ссылка.
Разворачивается в System32/Sysfiles Виртуальный принтер удален.
Не показывает подтверждение InternetID. Не показывает предупреждения о видео наблюдении. Файлы сервера не изменялись.
Вся магия в msimg32.dll, совместима с версией сервера 5.3.0 и выше.
Библиотека msvcr100.dll добавлена, так как сервер не хотел стартовать на Windows 8. Протестировано на WinXP-32bit, Win7-32bit, Win8-32bit.

P.S. Перехва API не увенчался успехом, пришлось по старинке патчем в памяти.

 

scandalist
А что помешало тебе перехватить сами апишки в стиле сплайсинга?Исходные коды движков на cpp раскиданы в интернете.Имена в экспорте твоей прокси длл указывают на пустые заглушки.Нет джампов на оригинальные функции.Может тут это и проканает,но в других случаях,когда прога будет обращаться к этим функциям,могут возникнуть траблы.
По поводу универсальности,ты уверен,что в других версиях RMS,код будет распологаться по той же величине относительно данных?
Прикладываю аттач с тулузами для автоматического создания враппера.
http://www.sendspace.com/file/jemp50

 

Инструкция актуальна, с учетом того, разумеется,
что всё необходимое скачалось одним архивом.

Уж поверьте, я перепробовал все варианты на С++ создать перехват API которые смог найти в сети начиная от mhook и кончая MSDetours. У меня не получилось собрать работающий проект, то не всё API перехватывает, то валится с ошибкой в памяти. То на XP работает, а на 7 валится, то библиотеки для другой версии VStudio. И согласитесь, тупо копипастить исходники кода из примеров к различным статьям бесполезно, там как правило ошибки щедрыми горстями и синтаксические и функциональные. И без хорошего знания С++ нельзя обойтись, а я ещё раз повторю, я в программировании вообще и на С++ в частности, как свинья в апельсинах, я компилятор в октябре установил, причем искал его в Google по словам "Хороший компилятор С++" *xD*.
Возможно и заглушки функций, я не знаю. Есть такая пословица: Поэт пишет - что чувствует, писатель - что видит, а программист - что прочитал. Вот и я написал, что прочитал. Не думаю, что GradientFill, AlphaBlend, TransparentBlt что бы они не делали, сильно повредят функционалу сервера, который вообще-то должен сидеть и не отсвечивать.
Так я и написал, что для сервера старше 5.3.0 там они чутка поменяли процедуру в подпрограмме запроса Internet-ID, видимо Win7/8 совместимость добавляли. В процедуре окна предупреждения о видеонаблюдении ничего с 5.2.1 не менялось, а может и раньше я не проверял. Если в новой версии что-то поменяют, перепишу библиотеку. Это заодно защита от тех алёшек, которые пакет как свой навороченный троян продают. Я хотел его даже к конкретной версии сервера привязать, но поленился.
Wrapper я посмотрю, если мне подскажут, для чего он пытается подключиться к сети и мониторить нажатия клавиш.