RÉCUPÉRER LES VARIABLES D'ENVIRONNEMENT DE N'IMPORTE QUEL PROCESSUS

Commentaire de Patrice99 le 15/02/2009 10:08:01

Et toi tu vas l'utiliser dans quel but ?

Commentaire de Patrice99 le 15/02/2009 12:03:40

Moi l'utilité que je voie c'est surtout la ligne de commande des services actifs, par exemple ceux en svchost.exe de façon a détecter des anomalies du type virus ou vers via une liste blanche par exemple. Mais les variables d'environnement, à priori je voie pas comment l'utiliser.

Commentaire de bizzard4 le 15/02/2009 18:17:54

Vraiment super la source ! J'aime beaucoup les sources avec un aspect système. On pense souvent que nous en n'avons jamais besoin mais c'est quand c'est utile qu'on bûche. (expérience personnelle)

Commentaire de violent_ken le 16/02/2009 11:04:08

Je viens de tester sur une machine virtuelle XP Pro SP3, et effectivement, çà ne marche pas pour certains processus (liste pleine d'éléments vide à droite).

Je vais essayer de voir pourquoi çà bug

Merci
@+

Commentaire de violent_ken le 16/02/2009 11:57:10

Bon je peux proposer une correction résolvant le problème, mais je crois qu'il y a un problème de fond sous-jacent : la taille de bloc maximale lisible via ReadProcessMemory sous XP est de 2048, dans mon cas.

Au delà de cette taille, il faut fractionner la lecture en deux fois (et là encore c'est dans l'espoir que la taille totale soit inférieure à 4096 bytes) et fusionner les deux buffers.


Bref çà marche, MAIS :
"pourquoi ne peut t-on pas lire d'un seul bloc 2124 bytes ?"

Je vais regarder sur le net avant de poster la MAJ


(sinon juste remplacer la fonction ReadBytesAS par çà :

    Public Function ReadBytesAS(ByVal offset As Integer, ByVal size As Integer) As Short()

        Dim sBuf() As Short
        Dim _si As Integer = size
        Dim lByte As Integer
        ReDim sBuf(size - 1)

        ' Short array -> size*2 to get bytes count
        Dim ret As Integer = ReadProcessMemory(_handle, offset, sBuf, size * 2, lByte)

        ' If ret = 0 and err = ERROR_PARTIAL_COPY, reduce block size
        Do While ((ret = 0) And (Err.LastDllError = 299))
            size -= 2   ' Short <-> 2 bytes
            ret = ReadProcessMemory(_handle, offset, sBuf, size * 2, lByte)
        Loop

        If size < _si Then
            ' Got an error before, now we have to read part which was unreadable
            Dim sBuf2() As Short
            ReDim sBuf2(_si - size - 1)
            ret = ReadProcessMemory(_handle, offset + size, sBuf2, (_si - size) * 2, lByte)
            ' Copy buf2 to buf
            sBuf2.CopyTo(sBuf, CInt(size / 2 - 1))
        End If

        Return sBuf
    End Function
)

@+

Commentaire de violent_ken le 16/02/2009 16:47:52

Version 32 bits ? Hum, bah de toutes façons même en 64 bits le problème aurait été des plus bizarre. Bref, question ouverte en suspend.
Avec la nouvelle fonction çà marche, mais çà reste franchement étrange que j'ai du apporter la modification du dessus.


Je vais mettre à jour le zip.


Alors sinon pour les lignes vides, effectivement j'ai fait une erreur d'index, il faut lire :
sBuf2.CopyTo(sBuf, CInt(size / 2))    (pas de -1) ^^


Pour =::=::\, ben honnêtement c'est pas de ma faute :-)

En mémoire il y a une chaine de ce type (vérifié avec un editeur hexa) :
==::=::\@ (ou @ est un nullchar). Du coup lors du parsing, je prend ce qui est à gauche du premier '=' (c'est à dire rien) et c'est le nom de la variable.
Sa valeur est à droite du premier '=', c'est donc =::=::\.

Bref, du coup c'est "un bug de Windows" (une variable d'environnement qui n'a pas de nom et qui a une valeur pourrie). Le plus simple est de les filtrer en n'affichant que celles dont NomVariable.Length > 0 (nom de variable non nul).


Pour les processus sans données, tu pourrais s'il te plait juste mettre un point d'arrêt dans le code et me donner la valeur de _size juste avant ReadBytesAS ?
Ainsi que le nom du process, parce qu'un process avec plus de 4K de variables d'environnement... OUCH !!


Merci
@+

Commentaire de violent_ken le 16/02/2009 18:33:55

J'ai corrigé tous les bugs (normalement).


Sinon pour le processus ou il n'y a pas de données, _size = 2 indique que le bloc mémoire contenant la liste des variables est vide (du coup c'est normal qu'il retrouve rien).

Plusieurs raisons :
- soit le processus n'a pas de variables (très peu probable)
- soit l'accès est refusé (processus système et droits non suffisants ?)
- soit je sais pas ??

@+