Hackerboard WikiHaboBlog

[HaBo]

 
Virenschutz · Tools & Aggressive Software Tips zum Kampf gegen gegen Viren, Trojaner, CryptoSoft und Programme, die erstellt wurden um Schaden anzurichten, werden hier behandelt. Aber auch Tools aus dem Security Bereich sind hier richtig.

Antivir meckert bei selbst erstellten ungefährlichen Hook

Diskussion: Antivir meckert bei selbst erstellten ungefährlichen Hook im Forum Virenschutz · Tools & Aggressive Software, in der Kategorie Security Area; Hallo erst ein mal. Ich schreibe seit circa einem halben Monat in c. Davor habe ich über 5 Jahre in ...

Antwort
Alt 18.10.09, 16:37   #1 (permalink)
 
Benutzerbild von Sleepprogger
 
Registriert seit: 17.10.09
Sleepprogger Leistung: Facit NTK
Likes: 6
Standard Antivir meckert bei selbst erstellten ungefährlichen Hook


Hallo erst ein mal.
Ich schreibe seit circa einem halben Monat in c.
Davor habe ich über 5 Jahre in Java programmiert.

Nun habe ich angefangen mich mit winhooks zu befassen.
Snippets extrahiert aus :(http://www.tutorials.de/forum/c-c-tu...ows-hooks.html)

Ich habe das ganze nun so weit das alle Fehler weg sind, da meckert Antivir "TR/Dropper.Gen".
Meckert AntiVir bei jeder Benutzung von hooks ?
Kann ich mir ja eigentlich nicht vorstellen.
Falls ich irgendwo einen fehler gemacht habe, der AntiVir denken lässt das dies ein Trojaner sei, bitte ich euch mir diesen mitzuteilen.

Nebenbei das ganze funktiniert auch noch nicht wirklich.


Hier noch mal mein Code:

Code:
/*
 ============================================================================
 Name        : Pipette.c
 Author      : SleepProgger
 Version     :
 Copyright   : Your copyright notice
 Description : HookTest
 ============================================================================
 */

#include <stdio.h>
#include <stdlib.h>
#include <windows.h>

typedef BOOL (CALLBACK *MYFUNC)(void);

MYFUNC InstallHook;
MYFUNC UninstallHook;

void init(){
	InstallHook = NULL;
	UninstallHook = NULL;
}

LRESULT CALLBACK MouseProc(int nCode, WPARAM wParam, LPARAM lParam){
	printf("%s", "Callback");
	return 0;
}

int main(void) {
	init();
	HINSTANCE hDll = LoadLibrary("HookTest.dll");
	if(hDll != NULL){
		printf("%s\n", "lib loading failure");
		return -1;
	}

	InstallHook = (MYFUNC)GetProcAddress(hDll, "InstallHook");
	if(InstallHook != NULL){
		printf("%s\n", "install func loading failure");
		return -1;
	}
	UninstallHook = (MYFUNC)GetProcAddress(hDll, "UninstallHook");
	if(UninstallHook != NULL){
		printf("%s\n", "uninstall func loading failure");
		return -1;
	}

	FreeLibrary(hDll);

	return EXIT_SUCCESS;
}
die dl.hl:

Code:
#ifndef _DLL_H_
#define _DLL_H_
#endif

#include <windows.h>

#if BUILDING_DLL
# define DLLIMPORT _declspec (dllexport)
#else /*Not building dll*/
# define DLLIMPORT _declspec (dllimport)
#endif /*Not building dll*/

#define SHARED __attribute__((section(".shr"), shared))

DLLIMPORT BOOL InstallHook();
DLLIMPORT BOOL UninstallHook();

LRESULT CALLBACK MouseProc(int nCode, WPARAM wParam, LPARAM lParam);
und die dllmain.c

Code:
/*
 * dllmain.c
 *
 *  Created on: 18.10.2009
 *      Author: SleepProgger
 */
#include "dll.h"

HHOOK g_hMouseHook SHARED = NULL;
HINSTANCE g_hInst SHARED = NULL;

BOOL APIENTRY DLLMain(HINSTANCE hInts, DWORD reason, LPVOID reserved){
	g_hInst = hInts;
	return TRUE;
}

DLLIMPORT BOOL installHook(){
	if(g_hMouseHook != NULL){
		return TRUE;
	}
	g_hMouseHook = SetWindowsHookEx(WH_MOUSE, MouseProc, g_hInst, 0);
	if(g_hMouseHook == NULL){
		return FALSE;
	}
	//TODO changed
	return TRUE;
}

DLLIMPORT BOOL uninstallHook(){
	if(g_hMouseHook != NULL){
		UnhookWindowsHookEx(g_hMouseHook);
		g_hMouseHook = NULL;
	}
	return TRUE;
}

LRESULT CALLBACK MouseProc(int nCode, WPARAM wParam, LPARAM lParam){
	if(nCode < 0){
		return CallNextHookEx(g_hMouseHook, nCode, wParam, lParam);
	}

	if(nCode == HC_ACTION){
		if( (wParam == WM_LBUTTONDOWN) || (wParam == WM_NCLBUTTONDOWN) ){
			MOUSEHOOKSTRUCT *mhs = (MOUSEHOOKSTRUCT*)lParam;
			HWND caller = FindWindow("Pipette", NULL);
			if(caller != NULL){
				PostMessage(caller, WM_USER+123, 0, MAKELPARAM(mhs->pt.x, mhs->pt.y));
			}
		}
	}
	return CallNextHookEx(g_hMouseHook, nCode, wParam, lParam);
}

M.f.g.
SleepProgger
__________________
Anonymisierungsdienste I
Sleepprogger ist offline   Mit Zitat antworten
Alt 16.11.09, 21:16   #2 (permalink)
 
Benutzerbild von bad_alloc
 
Registriert seit: 27.12.07
bad_alloc Leistung: Z3
Likes: 24
Standard

Ich denke nicht, dass du einen Fehler gemacht hast; dein Programm passt wohl nur unglücklicherweise in die Heuristiken von AntiVir. Wenn ein Trojaner auch mit ähnlicher Struktur munter rumhookt kann man nichts machen außer für dein Programm eine Ausnahmeregel zu definieren.
Nicht ganz zum Topic: Ich würde den Einsatz von Programmiertechniken, die auch in Viren vorkommen nicht als Fehler bezeichnen. Du richtest ja nicht absichtlich Schaden an, bzw wenn doch wäre es auch kein Fehler, da der Schaden ebenfalls gewollt ist. Wenn dann läge der Fehler bei Avira, da sie nicht in der Lage sind Tojaner von harmlosen Code zu unterscheiden </meinung>
__________________
You shoot yourself in somebody else's foot.|Dann gabs da noch den Mathematiker der P?=NP in O(1) erklärte.
|[A]| = p(·,|[A]|)+1
bad_alloc ist offline   Mit Zitat antworten
   
HaBOT
 

Werbung ist gerade online    
Alt 16.11.09, 21:42   #3 (permalink)
Senior Member
 
Benutzerbild von odigo
 
Registriert seit: 25.12.04
odigo Leistung: 8086odigo Leistung: 8086
odigo eine Nachricht über ICQ schicken
Likes: 50
Standard

Zitat:
Zitat von bad_alloc Beitrag anzeigen
Ich würde den Einsatz von Programmiertechniken, die auch in Viren vorkommen nicht als Fehler bezeichnen. Du richtest ja nicht absichtlich Schaden an, bzw wenn doch wäre es auch kein Fehler, da der Schaden ebenfalls gewollt ist. Wenn dann läge der Fehler bei Avira, da sie nicht in der Lage sind Tojaner von harmlosen Code zu unterscheiden </meinung>
Naja, das Problem ist wohl daß Antivir nicht unterscheiden kann ob das was da passiert zum Wohle des Users ist und nicht zu seinem Schaden. Ein bekannter Keylogger ist wohl genauso schädlich wie ein selbstgeschriebender Keylogger den man einem Freund unterjubelt. Wenn du dafür eine Lösung findest wirst du verdammt reich und berühmt werden.

Ich bin zwar in dem Bereich kein Spezialist, aber ich denke du wirst mit dem Fehlalarm leben müssen.
odigo ist offline   Mit Zitat antworten
Antwort
   

Werbung ist gerade online    

[HaBo] » Security Area » Virenschutz · Tools & Aggressive Software » Antivir meckert bei selbst erstellten ungefährlichen Hook
Themen-Optionen
Ansicht

Forumregeln
Es ist Ihnen nicht erlaubt, neue Themen zu verfassen.
Es ist Ihnen nicht erlaubt, auf Beiträge zu antworten.
Es ist Ihnen nicht erlaubt, Anhänge hochzuladen.
Es ist Ihnen nicht erlaubt, Ihre Beiträge zu bearbeiten.

BB-Code ist an.
Smileys sind an.
[IMG] Code ist an.
HTML-Code ist aus.
Trackbacks sind aus
Pingbacks sind aus
Refbacks sind aus


Ähnliche Themen
Thema Autor Forum Antworten Letzter Beitrag
htaccess + Hoster meckert :( zillibus (Web-) Design und webbasierte Sprachen 4 01.03.08 20:40
Zugriff auf meine erstellten Threads? lynx Hackerboard.de-Feedback 3 29.10.06 19:14
MPlayer meckert gcc an Nimda05 Linux/UNIX 21 06.04.06 12:38
Registrierung meckert JasonV Applikationen 3 28.11.01 16:04


1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61