Непонятности с анонимными пайпами и cmd.exe

Уважаемые гуру, подскажите решение проблемы.
-Стандартный вариант Бэкдора. Имеем командный интерпретатор (cmd.exe), запущенный с унаследованными хэндлами ввода-вывода созданных ранее анонимных пайпов. И вроде все ништяк, пока дело не доходит до DIR в SYSTEMDIR. Ввиду большого количества файла, информация выводится интерпретатором в пайп порциями, я так предполагаю ввиду небольшого размера буфера вывода интерпретатора. Мож кто подскажет, как обойти сей замут, чтоб в пайп залить сразу весь result. Либо какой Char заслать в буфер ввода, чтоб выскочила следующая порция.

-И сразу второй вопрос. Функцией WriteFile засылаем в интерпретатор команду на выполнение. Как известно, эта функция возвращает управление, как только завершит запись. Следующая команда - чтение пайпа- ReadFile. Тут создается трабл с командами, которые интерпретатор выполняет достаточно долго - выходной буфер содержит не всю информацию. В плане синхронизации как понимаю никаких особых сигнальных Event-ов для cmd.exe не придумано, т.к. процесс и поток переходит в сигнальное состояние только при Terminate. При рассмотрении работы cmd под микроскопом видим два Eventa, один из которых в момент выполнения команды находится в сигнальном состоянии. Можно ли воспользоваться сим Event-ом для нормальной синхронизации? Хотя предполагаю дело это геморное, т.к. придется творить DuplicateHandle, а потом искать нужный...
Как можно замутить качественную синхронизацию в таком случае?

 

Ммдя... Наверное точно придется хэндл ловить... Либо буфер на изменение каким-либо образом проверять...
А мож Слип(100) тебе поможеть (знаю, грязное это дело ну а куда ещё....)

 

Не, Sleep никак не идет, творение жалко портить плохим почерком. Буфер проверял на изменение, PeekNamedPipe, вроде работает, правда код тоже корявейший. Вот и задаю вопрос, а может кто знает какие либо ухищрения?

 

Читай буфер, пока не прочтёшь весь и используй PeekNamedPipe, чтобы не подвиснуть - вот и всё.

 

Код (Text):

1. dir /P

 

Quantum

Гениальное просто! И что сразу не дошло? Теперь вместо посылки DIR просто всегда шлем DIR /p, и вуаля!
Может и с синхронизацией есть подобная мыслишка?

 

С синхронизацией я лично поступал довольно тупо: Read + Sleep, пока в буфере последним звеном не появится промпт шелла. Код по сей день исправно функционирует в одном коммерческом софте (не бакдор).

 

Quantum
Может, с шеллом проще. Но если та или иная консольная прога думает больше положенного над ответом, то и нам придётся висеть на ReadFile, что зачастую неприемлимо. Вариант с созданием потока для чтения и прибиением его слишком груб. Для этого и приходится проверять через PeekNamedPipe.

 

IceStudent
При взаимодействии с 16-битными приложениями через пайп в 9х иногда возникают странные исключения и приходится перенаправлять выход в файл. Универсального решения, AFAIK, нет. К тому же, именованные пайпы вообще только NT поддерживаются.

 

Quantum
При ожидании конца выполнения команды по появлению промпта шелла будет загвоздка:
-допустим сверяем последний принятый байт буфера с 03eh (">"). Теперь в результате к примеру вышеуказанной команды DIR /p мы соответственно ничего не дождемся, т.к. в конце буфера будет ANSI строка "Для продолжения нажмите любую клавишу...". Много команд cmd.exe запрашивают подтверждение (Y\N) и т.д. и т.п. Попытаюсь выдернуть хэндл Eventa из cmd, и по нему определять. Всем BIG THNKS!

 

geroin.vxd
http://drmist.ru/sources/BindWinAll/bind.cpp
Фактически переведенный Console.asm из пинча.

 

ВсЁ, замутил с поиском хэндла Eventa, проверкой его на PID и Type, копированием в свой процесс и последующим опросом. Причем код получился не особо громоздким... Хотя была пара подводных камней. Если кто что знает об этом, PLEASE, просветите.
-ProceXP from Sysinternals определяет объект как Event, а при работе с ним система видит его как MUTANT
-Какого спрашивается Дуя в структуре SYSTEM_HANDLE_INFORMATION хэндл определен как word? Полдня с этим боролся, параметры в стеке съезжали...

 

geroin.vxd
Не нужно использовать такие черезжопные методы. Ведь в консоли должен работать не только cmd.exe, а вообще любая программа (даже с псевдографикой, наподобии far). Имхо лучше всего читать из пайпа данные по 1 байту, а затем держать их в буфере, и по заполнении буфера, либо по истечении таймаута отправлять их на обратную сторону.

 

Ms Rem
Гы! Зато как круто получилось - гланды, как говорится, через задний проход удаляем. Не, просто в данной реализации, для чего предназначено, кроме cmd.exe ничего не используется. А так естественно понятно, что ни одна другая консольная аппликуха с таким методом синхронизации не попрет по естественной причине. А для себя приятно, задумал, посоветовался, сделал по своему

ЗЫ Большой респект за библиотеку Ring0 для Delphi. В Phrack#59 это дело описывается, но реализовать сходу не получается, жуков выводил неделю, BSOD FOREVER. Потом твое Дело просто переложил на ASM, и вуаля! THNKS

 

Вот это уже более правильная реализация, но всеравно не идеал. Можно вполне обойтись только одним потоком.

 

я правильно понимаю, речь о телнет-шелле? если да, то имхо тут что-то не сходится, far невозможно использовать через telnet (насколько я знаю, кажется это связанно с тем, что он не совсем "кончолькое приложение", а вобще если у кого есть исходник, опровергающий мое утверждение - я с любопытством посмотрел бы)

 

Да собственно дело не в телнете. Выдернутый через анонимный пайп из консоли буфер в дальнейшем можно отправить на RemoteHost массой способов such as: NamedPipes, MailSlots, Sockets e.t.c. и принять самопальным же клиентом... Хотя, ежели честно, с FAR я таким образом не работал, ничего сказать не могу.

 

Ну дык для этого нужен и не совсем обычный шел Нужно передавать по сети также движения мыши, нажатия клавиш и.т.п. Реализацию этого пишет один местный чел (я чейчас изучаю даже рабочий исходник, правда не сетевой). Если он захочет - то возможно выложит сорцы на паблик, но я его постараюсь от этого отговорить

 

Ms Rem
))
ну если он вздруг его дапишет и захочит поменяться на то же самое, но для всего экрана - моя аска у тебя (вероятно еще - а то похоже ты сменил уин а также возможно и клиент) есть.

 

дык уже с год есть ремотный фар. это реальность.