Как перехватывать события в программах инжектом DLL?

Здравствуйте! Вопрос стоит в том как написать код инжектируемой DLL, которая бы подгружалась в каждый процесс, и делала следуещее:

1. Перехватывала обращения к файлам:
Сообщала моей программе о том какая программа и что пытается изменить в файловой системе:
Создать/Удалить/Переименовать/Переместить/Скопировать/Изменить файл в такой форме:

событие : путь_к_программе : путь_к_файлу.

2. Перехватывала обращение к реестру:

Сообщала моей программе о том какая программа и что пытается изменить в реестре:
Создать/Удалить/Изменить/Переименовать ключ или параметр в такой форме:

событие : ключ_или_параметр : путь_к_программе : путь_к_ключу_или_параметру.

Я хочу реализовать такое, знаю что это слишком сложно, но может найдётся человек который поможет мне?
Все ссылки интернета не помогают там сплошная теория о том что такое инжект, DLL и.т.д. а даже если есть код то он на C#/C++. Не знаю что делать. Помогите пожалуйста! ОЧЕНЬ НАДО.

0

Сообщение от mss В user mode - никак. Только в kernel mode.

Значит нельзя будет отслежиать обращения к файлам/реестру для всех программ?

0

Короче если нельзя во все процессы инжект сделать, то надо искать другой метод перехвата
Может кто-нибудь всё же знает что делать?

0

Нет, с dll можно! В инете поищи что-то типо перехват terminate process с помощью dll. Конечно наврятли ты там много чего найдёшь но попробовать стоит! А по этому примеру и с другим разберешься! А самый лучший способ перехвата - ДРАЙВЕР! Уж в интернете дофига по этому инфы! Может что-то и найдёшь! Удачи !

0

Сообщение от Zagadohnik37 Может что-то и найдёшь!

Искал долго, ничего не нашёл Проблема стоит уже год
Погоди... Так значит DLL можно и в user-mode, и в kernel-mod?!

Добавлено через 2 минуты
А где можно драйвер взять/как можно написать?

0

Насчёт user-mod' а не знаю... А насчёт драйверов, извини ни чем помочь не могу, потому-что сам никогда с этим не сталкивался! Мой совет: если надо перехватывать пито openProcess и всякое такое то пиши драйвер! Если тупо изменение какого то ключа - о это можно сделать внутри проги! Смотришь, если у ключа другое значение, то просто его возвращаешь к исходному! Dll вариант хреновый, и сложный! А по драйверам инфы хотя-бы много!

0

Мне нужно отслеживать для всех ключей/разделов/файлов, и знать какая именно программа модифицирует.

0

Ну тогда я не уверен... но как мне кажется тут можно отделаться каким-нибудь хуком!

0

Каким?

0