Como saber si la aplicación fue ejecutada desde Delphi

[[escafandra]]

Empezado por Nipx4215

...Cuando abrimos un programa con doble click el que lo lanza es el explorer.exe y con el código que mencionan se puede checar que no sea lanzado de otra aplicacion, con una simple verificacion del P.I.D. del proceso padre. El problema es que a partir de Windows vista hay unas nuevas apis que permiten indicarle al proceso lanzado cual es tu proceso padre...

Nipx4215, tienes razón. EXTENDED_STARTUPINFO_PRESENT permite en Win Vista y posteriores saltarse el UAC y ejecutar un proceso "engañando" atribuyéndolo a otro proceso padre falso.
La bandera EXTENDED_STARTUPINFO_PRESENT fuerza el uso de una estructura como esta:

Código Delphi [-]
  STARTUPINFOEX = packed record
    StartupInfo: TStartupInfo;
    lpAttributeList: PPROC_THREAD_ATTRIBUTE_LIST;
  end;
  PSTARTUPINFOEX = ^STARTUPINFOEX;

y con las APIs InitializeProcThreadAttributeList y UpdateProcThreadAttribute Crear la lista de atributos (atributo PROC_THREAD_ATTRIBUTE_PARENT_PROCESS) que permitirá a CreateProcess engañar al sistema.

He escrito una pequeña aplicación que permite realizarlo, he contrastado el código de cHackAll y el aportado por nlsgarcia, ninguno encuentra el verdadero padre del proceso hijo.
Hasta el momento no he encontrado el antídoto, aclarar que el ProcessExplorer de Sysinternals también es engañado.

Código Delphi [-]
const
  EXTENDED_STARTUPINFO_PRESENT = $00080000;
  PROC_THREAD_ATTRIBUTE_PARENT_PROCESS = $00020000;

type
  PPROC_THREAD_ATTRIBUTE_LIST = Pointer;

  STARTUPINFOEX = packed record
    StartupInfo: TStartupInfo;
    lpAttributeList: PPROC_THREAD_ATTRIBUTE_LIST;
  end;
  PSTARTUPINFOEX = ^STARTUPINFOEX;

  function InitializeProcThreadAttributeList(lpAttributeList: PPROC_THREAD_ATTRIBUTE_LIST;
                                             dwAttributeCount, dwFlags: DWORD;
                                             var lpSize: Cardinal): Boolean; stdcall; external 'kernel32.dll';

  function UpdateProcThreadAttribute(lpAttributeList: PPROC_THREAD_ATTRIBUTE_LIST;
                                     dwFlags, Attribute: DWORD;
                                     var pValue: DWORD;
                                     cbSize: Cardinal;
                                     pPreviousValue: Pointer;
                                     pReturnSize: PCardinal): BOOL; stdcall; external 'kernel32.dll';

  procedure DeleteProcThreadAttributeList(lpAttributeList: PPROC_THREAD_ATTRIBUTE_LIST); stdcall; external 'Kernel32.dll';

function GetProcessId(FileName: String): DWORD;
var
   proc: TProcessEntry32;
   hSysSnapshot: THandle;
begin
   proc.dwSize := SizeOf(TProcessEntry32);
   hSysSnapshot:= CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
   if (hSysSnapshot <> INVALID_HANDLE_VALUE) and Process32First(hSysSnapshot, proc) then
   begin
     repeat
       if String(proc.szExeFile) = FileName then
       begin
         Result:= proc.th32ProcessID;
         break;
       end;
     until not (Process32Next(hSysSnapshot, proc));
   end;
   CloseHandle(hSysSnapshot);
end;

function CeateChildProcess(ExeName, ParentProcess: string): BOOL;
var
  pi: TProcessInformation;
  si: STARTUPINFOEX;
  Size: Cardinal;
  hParent: Cardinal;
begin
  Result:= false;

  FillChar(si, SizeOf(si), 0);
  si.StartupInfo.cb := sizeof(si);
  FillChar(pi, sizeof(pi), 0);
      
  Size := 0;
  InitializeProcThreadAttributeList(nil, 1, 0, Size);
  si.lpAttributeList:= HeapAlloc(GetProcessHeap(), 0, Size);
  InitializeProcThreadAttributeList(si.lpAttributeList, 1, 0, Size);
  hParent := OpenProcess(PROCESS_ALL_ACCESS, False, GetProcessID(ParentProcess));
  UpdateProcThreadAttribute(si.lpAttributeList, 0, PROC_THREAD_ATTRIBUTE_PARENT_PROCESS, hParent, sizeof(hParent), nil, nil);

  if CreateProcess(nil, PChar(ExeName), nil, nil, False, EXTENDED_STARTUPINFO_PRESENT, nil, nil, (PSTARTUPINFO(@si))^, pi) then
  begin
    Result:= true;
    CloseHandle(pi.hProcess);
    CloseHandle(pi.hThread);
  end;

  DeleteProcThreadAttributeList(si.lpAttributeList);
  HeapFree(GetProcessHeap(), 0, si.lpAttributeList);
end;
{$R *.dfm}

procedure TForm1.Button1Click(Sender: TObject);
begin
  CeateChildProcess(Edit1.Text, 'Explorer.exe');
end;

Subo un binario compilado para pruebas, he elegido que el padre sea Explorer.exe porque es lo más habitual en procesos de escritorio: ExecuteWithParent

Empezado por Nipx4215

...Lo anterior compromete la seguridad del "programa2" aunque protejamos nuestra aplicacion, porque con el "programa1" pueden modificar nuestro código en memoria...

En realidad un proceso puede modificar la memoria de otro, independientemente de quién lo haya creado. Pero si pretendes basar una protección de algún componente en el hecho de que se ejecute o no desde el IDE, quizás estés en un apuro, a no ser que exista una solución al problema de encontrar el verdadero padre de la criatura. De todas formas ten en cuenta que siempre se podrá encontrar un antídoto para dicha protección.


Saludos.

[[escafandra]]

Se me olvidaba un detalle importante, el código anterior no funciona si se ejecuta desde el IDE, una vez compilado debe ser ejecutado desde el mismo explorer.


Saludos.

[Nipx4215]

Gracias a ambos, sigo haciendo pruebas

@escafandra solo que debe ser explorer.exe en lugar de Explorer.exe porque si no falla

tambien hay una manera mas fiable de encontrar al explorer real, porque explorer puede haber muchos que no son precisamente explorer, digamos abrir con openprocess el proceso padre de ExecuteWithParent.exe y automáticamente sería el explorer

sigo investigando, les cuento si encuentro algo

[Nipx4215]

MSDN
PROC_THREAD_ATTRIBUTE_PARENT_PROCESS
Los atributos heredados del proceso especificado incluyen handles, device map, processor affinity, priority, quotas, process token y job object. (Algunos atributos, como el debug port vendrán del proceso de creación, no el proceso especificado por este handle.)

La pregunta sería que otros atributos no se heredan por esta forma, msdn no especifica más

[[nlsgarcia]]

escafandra,

Empezado por escafandra

...el código anterior no funciona si se ejecuta desde el IDE, una vez compilado debe ser ejecutado desde el mismo explorer...

En las pruebas realizadas con Delphi 7 sobre Windows 7 Professional x32 con el código del Msg #10, este funciono correctamente desde el IDE y de forma independientemente, con la salvedad de que el ParentProcess en este caso debe ser explorer.exe en lugar de Explorer.exe

Saludos,

Nelson.

[[nlsgarcia]]

Nipx4215,

Empezado por escafandra

...En realidad un proceso puede modificar la memoria de otro, independientemente de quién lo haya creado...

Empezado por escafandra

...si pretendes basar una protección de algún componente en el hecho de que se ejecute o no desde el IDE, quizás estés en un apuro, a no ser que exista una solución al problema de encontrar el verdadero padre...

Empezado por Nipx4215

...sigo investigando...

Pregunto : ¿Has considerado hacer un hash a explorer.exe y verificar el mismo en tu proceso?

Revisa este código:

Código Delphi [-]
  unit Unit1;
  
  interface
  
  uses
    Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
    Dialogs, StdCtrls, IdHashMessageDigest, IdHash, IdHashSHA1;
  
  type
    TForm1 = class(TForm)
      Button1: TButton;
      Button2: TButton;
      procedure Button1Click(Sender: TObject);
      procedure Button2Click(Sender: TObject);
    private
      { Private declarations }
    public
      { Public declarations }
    end;
  
  var
    Form1: TForm1;
  
  implementation
  
  {$R *.dfm}
  
  function GetMD5(const FileName : String): String;
  var
     MD5 : TIdHashMessageDigest5;
     FS : TFileStream;
  begin
     Result := EmptyStr;
     MD5 := TIdHashMessageDigest5.Create;
     FS := TFileStream.Create(FileName, fmOpenRead or fmShareDenyWrite);
     try
        Result := MD5.HashStreamAsHex(FS);
     finally
        MD5.Free;
        FS.Free;
     end;
  end;
  
  function GetSHA1(const FileName : String): String;
  var
     SHA1 : TIdHashSHA1;
     FS : TFileStream;
  begin
     Result := EmptyStr;
     SHA1 := TIdHashSHA1.Create;
     FS := TFileStream.Create(FileName, fmOpenRead or fmShareDenyWrite);
     try
        Result := SHA1.HashStreamAsHex(FS);
     finally
        SHA1.Free;
        FS.Free;
     end;
  end;
  
  procedure TForm1.Button1Click(Sender: TObject);
  var
     FileName : String;
     MsgUsr, Title : String;
  begin
     FileName := 'C:\Windows\explorer.exe';
     MsgUsr := GetMD5(FileName);
     Title := 'MD5 ' + FileName;
     MessageBox(Handle, PChar(MsgUsr), PChar(Title), MB_OK + MB_ICONINFORMATION);
  end;
  
  procedure TForm1.Button2Click(Sender: TObject);
  var
     FileName : String;
     MsgUsr, Title : String;
  begin
     FileName := 'C:\Windows\explorer.exe';
     MsgUsr := GetSHA1(FileName);
     Title := 'SHA1 ' + FileName;
     MessageBox(Handle, PChar(MsgUsr), PChar(Title), MB_OK + MB_ICONINFORMATION);
  end;
  
  end.

El código anterior en Delphi 2010 sobre Windows 7 Professional x32, Permite calcular un Hash MD5 y SHA1 a un archivo seleccionado, como se muestra en la siguiente imagen:



Nota: La idea en este caso particular, es calcular el hash de explorer.exe y guardarlo dentro de la aplicación para que esta pueda verificar si efectivamente corresponde al hash del proceso padre actual.

Revisa esta información:

1- Calcular Hash SHA1 y MD5

2- SHA-1

3- MD5

Espero sea útil

Nelson.

[[escafandra]]

Empezado por Nipx4215

...escafandra solo que debe ser explorer.exe en lugar de Explorer.exe...
...explorer puede haber muchos que no son precisamente explorer...

Tienes razón, el tema fue experimentar con distintos procesos padre y no supeditarlo solo a explorer. Un cambio a última hora me llevó a poner Explorer. Explorer hay muchos pero para experimentar es irrelevante quien sea el padre, a no ser que tengas un interés especial en el tema.

Empezado por nlsgarcia

...En las pruebas realizadas con Delphi 7 sobre Windows 7 Professional x32 con el código del Msg #10, este funciono correctamente desde el IDE y de forma independientemente...

En delphi7 bajo Win 8.1 no me ha funcionado, probablemente por las opciones de compatibilidad del nuevo S.O. es por lo que avisé de no correr bajo IDE

Empezado por nlsgarcia

¿Has considerado hacer un hash a explorer.exe y verificar el mismo en tu proceso?

Puede ser una buena idea, pero el archivo no va a ser el mismo según la versión del S.O. y además no se está a salvo de que M$ lo cambie en una actualización. Por otro lado, no sabemos lo que pretende realmente Nipx4215, si descartar como padre al explorer u otro proceso, en cuyo caso quizás es hash sea más "estable"..., o no.


Lo ideal sería encontrar el verdadero padre.


Saludos.

[[nlsgarcia]]

Nipx4215,

Empezado por escafandra

...Lo ideal sería encontrar el verdadero padre...

Es correcto

Empezado por escafandra

...Por otro lado, no sabemos lo que pretende realmente Nipx4215, si descartar como padre al explorer u otro proceso...

Pregunto:

1- ¿Que versión de Delphi y Windows (x32/x64) vas a utilizar para el problema en cuestión?.

2- ¿Puedes describir que tipo de aplicación utilizara este tipo de verificación y por que es necesaria?.

Espero sea útil

Nelson.

[Nipx4215]

Hola

1.-Sería delphi 7, win7 x64
2.-Es solo evitar que sea lanzado con un programa diferente al explorer, hasta ahorita al programa no han podido desempacarlo, y la única manera que lo pueden atacar es en memoria. Por eso se quiere evitar esto.

[[nlsgarcia]]

Nipx4215,

Empezado por Nipx4215

...hasta ahorita al programa no han podido desempacarlo, y la única manera que lo pueden atacar es en memoria...

Pregunto:

1- ¿Que significa que no han podido desempacarlo?

2- ¿Podrías explicar cual es la función de esta aplicación?.

Espero sea útil

Nelson.

[[escafandra]]

Añado otra pregunta: ¿Deseas evitar que lo lancen con un depurador (debugger)?

Saludos.