Saber si la aplicación fue ejecutada desde Delphi

[[cHackAll]]

> kernel32.dll
>> Process32First
>> Process32Next
>>> TProcessEntry32.th32ParentProcessID

PD; talvez puedas "renombrar" las clases y nombres de ventanas de Delphi.

Saludos

[aeff]

colegas, no entiendo??? que me estan sugiriendo??

saludos!
aeff!

[aeff]

a ver si capté algo, me sugieres que la cosa puede venir por "CreateToolhelp32Snapshot"??

[[cHackAll]]

Empezado por aeff

a ver si capté algo, me sugieres que la cosa puede venir por "CreateToolhelp32Snapshot"??

Código Delphi [-]
uses TlHelp32;
 
//...
 
function GetParentPID(dwProcessId: Cardinal): Cardinal;
var
 ProcessEntry32: TProcessEntry32;
 hSnapshot: Cardinal;
begin
 Result := 0;
 hSnapshot := CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
 if hSnapshot <> INVALID_HANDLE_VALUE then
  begin
   if Process32First(hSnapshot, ProcessEntry32) then
    repeat
     if ProcessEntry32.th32ProcessID = dwProcessId then
      begin
       Result := ProcessEntry32.th32ParentProcessID;
       Break;
      end;
    until not Process32Next(hSnapshot, ProcessEntry32);
   CloseHandle(hSnapshot);
  end;
end;

Aunque ahora que lo pienso un poco mejor:

Código Delphi [-]
//...
 
function NtQueryInformationProcess(ProcessHandle, ProcessInformationClass: Cardinal; ProcessInformation: Pointer; ProcessInformationLength: Cardinal; ReturnLength: PCardinal): Cardinal; stdcall external 'ntdll';
 
function GetParentPID(dwProcessId: Cardinal): Cardinal;
var
 hProcess: Cardinal;
 ProcessBasicInformation: record
  ExitStatus, PebBaseAddress, AffinityMask, BasePriority, UniqueProcessId, InheritedFromUniqueProcessId: Cardinal;
 end;
begin
 Result := 0;
 hProcess := OpenProcess(PROCESS_QUERY_INFORMATION, False, dwProcessId);
 if hProcess <> 0 then
  begin
   if NtQueryInformationProcess(hProcess, 0, @ProcessBasicInformation, SizeOf(ProcessBasicInformation), nil) = 0 then
    Result := ProcessBasicInformation.InheritedFromUniqueProcessId;
   CloseHandle(hProcess);
  end;
end;

Para luego:

Código Delphi [-]
function GetProcessImageFileNameA(hProcess: Cardinal; lpImageFileName: PChar; nSize: Cardinal): Cardinal; stdcall external 'psapi';
 
procedure TForm1.Button1Click(Sender: TObject);
var
 dwProcessId, hProcess: Cardinal;
 FileName: array [1..MAX_PATH] of Char;
begin
 dwProcessId := GetParentPID(666);
 if dwProcessId <> 0 then
  begin
   hProcess := OpenProcess(PROCESS_QUERY_INFORMATION or PROCESS_TERMINATE, False, dwProcessId);
   if hProcess <> 0 then
    begin
     GetProcessImageFileNameA(hProcess, @FileName, SizeOf(FileName));
     if LowerCase(ExtractFileName(PChar(@FileName))) = 'delphi32.exe' then
      TerminateProcess(hProcess, 0); // por ejemplo
     CloseHandle(hProcess);
    end;
  end;
end;

end.

Saludos

[aeff]

diaaablos!!! eso está bello, habia hecho algo parecido pero esa API que usaste "GetProcessImageFileNameA" si que no tenia ni idea de que existia, muchas gracias, lo que habia hecho era listar los proceso con la API "CreateToolhelp32Snapshot" y luego buscar su proceso padre con el valor "th32ParentProcessID" del registro "TProcessEntry32", bueno, esta chévere este código, envio respuestas luego.

ahora, ¿se podrá cambiar ese parámetro?, es decir, se podrá de alguna forma cambiar esa información de proceso padre e hijo??

saludos!
espero que me entiendan!
muchas gracias, de veras, muchas gracias!!

aeff!

[aeff]

ahh! ni tampoco sabia de la API "NtQueryInformationProcess",

saludos!

[[cHackAll]]

Empezado por aeff

...¿se podrá cambiar ese parámetro?, es decir, se podrá de alguna forma cambiar esa información de proceso padre e hijo??...

Si el proceso ya existe y no hay la posibilidad de volverlo a correr; solo se me ocurre modificarlo a "bajo nivel".

Si no deseas que sepan que tu aplicación ejecutó un determinado proceso (por ende puedes ejecutarlo), te aconsejo revisar la API CreateProcessWithLogon.

Saludos

[aeff]

se me ocurre algo:

el proceso puede ejecutarse, averiguar "de donde salió", y si no es del proceso "delphi32" entonces se me ocurre una idea, inyectarnos dentro del proceso "delphi32" y luego crear el proceso nuevamente, luego finalizar el primer proceso que no fue ejecutado por "delphi32".

¿que crees?, traigo este idea para ser debatida antes de someterme a algo, ¿piensas que pueda resultar?

muchas gracias nuevamente colega
saludos!

aeff!

[[cHackAll]]

aeff, me parece una idea aceptable, pero antes de darle mi voto me agradaría saber a qué componente o aplicacion deseas engañar, para ver si hay alguna alternativa optima.

Saludos

[Neftali [Germán.Estévez]]

Empezado por aeff

...inyectarnos dentro del proceso "delphi32" y luego crear el proceso nuevamente, luego finalizar el primer proceso que no fue ejecutado por "delphi32".

(1º) No se si este hilo debería continuar por esos derroteros en estos foros.
(2º) Creo que para que eso funcionase, creo que el proceso delphi32 debería estar "vivo", y no se si eso es lo que quieres.