Перехват сокетов

[Nicker]

Здравствуйте, нужно сделать функцию которая бы конектилась к стороннему процессу и вела логи сокетов, вроде бы вышло но работает через рас + не знаю как отличить данные от тех которые были отправлены и были получены, помогите пожалуйста.

unit Main;

interface

uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, StdCtrls, Winsock, ExtCtrls;

type
  TForm1 = class(TForm)
    Memo1: TMemo;
    Button1: TButton;
    Edit1: TEdit;
    Timer1: TTimer;
    Button2: TButton;
    Label1: TLabel;
    Button3: TButton;
    procedure Button1Click(Sender: TObject);
    procedure Timer1Timer(Sender: TObject);
    procedure Button2Click(Sender: TObject);
    procedure Button3Click(Sender: TObject);
  private
    { Private declarations }
  public
    { Public declarations }
  end;

var
  Form1: TForm1;
function ZwQuerySystemInformation(ASystemInformationClass: DWORD;
  ASystemInformation: Pointer; ASystemInformationLength: DWORD;
  AReturnLength: PCardinal): DWORD; stdcall; external 'ntdll.dll';
function ZwQueryObject(ObjectHandle, ObjectInformationClass: DWORD;
  ObjectInformation: Pointer; Length: DWORD; ReturnLength: PDWORD): DWORD;
  stdcall; external 'ntdll.dll';

const
  SYSTEM_HANDLE_INFORMATION = 16;
  STATUS_INFO_LENGTH_MISMATCH = $C0000004;
  STATUS_SUCCESS = $00000000;
  OB_TYPE_FILE_WIN2K = 26;
  OB_TYPE_FILE_WINXP = 28;
  OBJECT_NAME_INFORMATION = 1;

type
  TSYSTEM_HANDLE_INFORMATION = packed record
    ProcessId: DWORD;
    ObjectTypeNumber: Byte;
    Flags: Byte;
    Handle: Word;
    pObject: Pointer;
    GrantedAccess: DWORD;
  end;

  TSYSTEM_HANDLE_INFORMATION_EX = packed record
    NumberOfHandles: DWORD;
    Information: array [0 .. 0] of TSYSTEM_HANDLE_INFORMATION;
  end;

  PSYSTEM_HANDLE_INFORMATION_EX = ^TSYSTEM_HANDLE_INFORMATION_EX;

  TUnicodeString = packed record
    Length: Word;
    MaximumLength: Word;
    Buffer: PWideChar;
  end;

  PUnicodeString = ^TUnicodeString;

implementation

{$R *.dfm}

function GetInfoTable(ATableType: DWORD; var ReturnLen: DWORD): Pointer;
var
  mSize: DWORD;
  mPtr: Pointer;
  St: DWORD;

begin
  Result := nil;
  mSize := $4000;
  repeat
    mPtr := VirtualAlloc(nil, mSize, MEM_COMMIT or MEM_RESERVE, PAGE_READWRITE);
    if mPtr = nil then
      Exit;
    St := ZwQuerySystemInformation(ATableType, mPtr, mSize, nil);
    if St = STATUS_INFO_LENGTH_MISMATCH then
    begin
      VirtualFree(mPtr, 0, MEM_RELEASE);
      mSize := mSize * 2;
      ReturnLen := mSize;
    end;
  until St <> STATUS_INFO_LENGTH_MISMATCH;
  if St = STATUS_SUCCESS then
    Result := mPtr
  else
    VirtualFree(mPtr, 0, MEM_RELEASE);
end;

procedure TForm1.Button1Click(Sender: TObject);
begin
  Timer1.Enabled := True;
end;

procedure TForm1.Button2Click(Sender: TObject);
begin
  Timer1.Enabled := False;
end;

procedure TForm1.Button3Click(Sender: TObject);
begin
  Memo1.Clear;
end;

procedure TForm1.Timer1Timer(Sender: TObject);
var
  Info: PSYSTEM_HANDLE_INFORMATION_EX;
  InfoSize, HandleNameLen, ObjectType, PID, hProcess, Loop, DstHandle,
    ReturnLen: DWORD;
  Version: TOSVersionInfo;
  HandleName: PUnicodeString;
  Filename: string;
  WSAData: TWSAData;
  r_sin: sockaddr_in;
  r_sin_len: Integer;
  WindowName: Integer;
  ThreadId, bytes_recv: Integer;
  buff: array [0 .. 2048] of char;
begin
  WindowName := FindWindow(nil, PCHAR(Edit1.Text));
  If WindowName = 0 then
  begin
    Memo1.Lines.Add('Bad name');
    Exit;
  end;
  ThreadId := GetWindowThreadProcessId(WindowName, @PID);

  hProcess := OpenProcess(PROCESS_DUP_HANDLE, False, PID);

  if hProcess = 0 then
  begin
    Memo1.Lines.Add('Process not accessible');
    Exit;
  end;
  Version.dwOSVersionInfoSize := SizeOf(TOSVersionInfo);
  GetVersionEx(Version);
  if Version.dwMajorVersion <> 5 then
  begin
    Memo1.Lines.Add('Unsupported Windows version');
    Exit;
  end;
  case Version.dwBuildNumber of
    2195:
      ObjectType := OB_TYPE_FILE_WIN2K;
    2600:
      ObjectType := OB_TYPE_FILE_WINXP;
  end;
  HandleNameLen := SizeOf(WideChar) * MAX_PATH;
  HandleName := VirtualAlloc(nil, SizeOf(TUnicodeString) + HandleNameLen,
    MEM_COMMIT or MEM_RESERVE, PAGE_READWRITE);
  if HandleName = nil then
    Exit;
  HandleName^.MaximumLength := HandleNameLen;
  Info := GetInfoTable(SYSTEM_HANDLE_INFORMATION, InfoSize);
  if Info = nil then
  begin
    Memo1.Lines.Add('Cannot obtain system handle list');
    Exit;
  end;
  WSAStartup($202, WSAData);
  for Loop := 0 to Info^.NumberOfHandles - 1 do
    if Info^.Information[Loop].ProcessId = PID then
      if Info^.Information[Loop].ObjectTypeNumber = ObjectType then
        if Win32Check(DuplicateHandle(hProcess, Info^.Information[Loop].Handle,
          GetCurrentProcess, @DstHandle, 0, False, DUPLICATE_SAME_ACCESS)) then
        begin
          ZwQueryObject(DstHandle, OBJECT_NAME_INFORMATION, HandleName,
            HandleNameLen, @ReturnLen);
          Filename := WideCharToString(HandleName^.Buffer);
          if Pos('\Device\Afd', Filename) > 0 then
          begin
            r_sin_len := SizeOf(r_sin);
            FillChar(r_sin, SizeOf(r_sin), 0);
            if getpeername(DstHandle, r_sin, r_sin_len) = 0 then
            begin
              bytes_recv := recv(DstHandle, buff, 2048, 0);
              if strPas(buff) <> '' then
              begin
                Memo1.Lines.Add('Addr: ' + inet_ntoa(r_sin.sin_addr) +
                  ', Port: ' + IntToStr(ntohs(r_sin.sin_port)));
                Memo1.Lines.Add(IntToStr(bytes_recv) + '' + strPas(buff));
              end;
            end;
          end
          else
            Label1.Caption := IntToStr(Info^.NumberOfHandles);
          CloseHandle(DstHandle);
        end;
  WSACleanup;
  VirtualFree(HandleName, SizeOf(TUnicodeString) + HandleNameLen, MEM_RELEASE);
  VirtualFree(Info, InfoSize, MEM_RELEASE);
  CloseHandle(hProcess);
end;

end.

[Тигрь]

Не надо создавать в винапи. По сабжу, тебе нужно написать дллку которую будешь внедрять в процесс, из нее ставить хуки на функции Recv и Send. В хуке обрабатывай буфер с входными данными и вызывай оригинальные функции. Тут ты и сможешь определить где вход где выход. В буфере Send отправленные пакеты в Recv - принятые.

[Тигрь]

Примера нет, код для новичка будет трудный в реализации, да и свои наработки по этой теме выкладывать я не собираюсь. Кури исходники l2phx там тот же метод применен, и если ты в его исходниках разобраться не можешь то другие тебе не помогут.