Injection de coffre-fort

Pas une très bonne question, désolé.

J’ai un programme qui doit être alerté lorsqu’un fichier est ouvert à partir de l’explorateur (c.-à-d. ShellExecute (A / W) est appelé).

Malheureusement, Microsoft a supprimé l’interface COM (IShellExecuteHook) qui vous permet de relier ces événements dans Vista et versions ultérieures, car un code plus ancien pourrait provoquer un blocage en raison de modifications. Il y avait une solution pour réactiver cette fonctionnalité, mais cela ne fonctionne plus.

J’ai fait des recherches et il semble que le seul moyen d’attraper les appels à ShellExecute est de redirect l’appel vers shell32.dll. Pour le moment, je souhaite injecter ma propre DLL dans le processus de l’explorateur, puis copier l’entrée IAT de ShellExecute dans une adresse donnée de ma DLL et enfin modifier l’entrée IAT permettant à ShellExecute de pointer vers ma fonction, qui en avertira le programme dans lequel un fichier a été ouvert et accéder à la fonction ShellExecute d’origine, dont nous avons précédemment enregistré l’adresse.

• Valeur des éléments non initialisés dans un tableau de langage C
• Confusion entre déclaration et définition d’une variable en C
• Les threads peuvent-ils écrire sur différents éléments du même tableau de structures sans locking?
• Étendre python avec C, retourner numpy tableau donne garbage
• Protocole HTTP: fin du corps du message

Ma plus grande préoccupation ici est les antivirus. Veulent-ils que je m’injecte dans l’explorateur? Veulent-ils que je modifie l’IAT?

Une autre préoccupation est de savoir si cela est sûr; Est-il possible (ou plutôt probable) que les privilèges de sécurité de l’explorateur interdisent l’injection via CreateRemoteThread? Si oui, y a-t-il une meilleure façon de faire cette injection?

Y at-il une meilleure façon de faire cela en général?

EDIT: Pour tous ceux qui rencontrent cela à l’avenir, explorer.exe n’a pas d’IAT pour shell32.dll; il a un en-tête, mais le thunk est plein de valeurs indésirables, donc il n’y a aucun moyen (pour autant que je sache) de récupérer l’entrée pour les fonctions imscopes.
On dirait que le tunneling de code est la seule façon de raccrocher cela.

• Comment obtenir par programme la liste des descripteurs de fichiers ouverts pour un PID donné sous OS X?
• Mise en œuvre efficace de la sélection «roulette» proportionnelle à la condition physique
• Cette diffusion de pointeur enfreint-elle la règle de crénelage ssortingct?
• instruction switch en C / Objective C
• Changer la valeur d’une variable externe