Дизассемблирование WSARecvFrom из ws2_32.dll

Сейчас на форуме: Magister Yoda (+4 невидимых)

Посл.ответ	Сообщение
Yuri4850 Ранг: 1.4 (гость) Активность: 0=0 Статус: Участник	Создано: 14 февраля 2010 22:14 · Поправил: Yuri4850 · Личное сообщение · #1 Создал тему, ответов нет. Сужаю вопрос. Сейчас ситуация такая: <Исследуемая программа> --- recvfrom ---> wsock32.dll --- WSARecvFrom ---> ws2_32.dll --- ? Кто-нибудь может объяснить, откуда WSARecvFrom берет данные?

Coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 14 февраля 2010 23:22 · Личное сообщение · #2 Дизассемблированная функция WSARecvFrom() Code: .text:71A9F652 ; int __stdcall WSARecvFrom(SOCKET s,LPWSABUF lpBuffers,DWORD dwBufferCount,LPDWORD lpNumberOfBytesRecvd,LPDWORD lpFlags,struct sockaddr lpFrom,LPINT lpFromlen,LPWSAOVERLAPPED lpOverlapped,LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine) .text:71A9F652 public* WSARecvFrom .text:71A9F652 WSARecvFrom proc near ; DATA XREF: .data:71AA41C0o .text:71A9F652 .text:71A9F652 var_8 = dword ptr -8 .text:71A9F652 dwErrCode = dword ptr -4 .text:71A9F652 dwFlags = dword ptr 8 .text:71A9F652 lpBuffers = dword ptr 0Ch .text:71A9F652 dwBufferCount = dword ptr 10h .text:71A9F652 lpNumberOfBytesRecvd= dword ptr 14h .text:71A9F652 lpFlags = dword ptr 18h .text:71A9F652 lpFrom = dword ptr 1Ch .text:71A9F652 lpFromlen = dword ptr 20h .text:71A9F652 lpOverlapped = dword ptr 24h .text:71A9F652 lpCompletionRoutine= dword ptr 28h .text:71A9F652 .text:71A9F652 mov edi, edi .text:71A9F654 push ebp .text:71A9F655 mov ebp, esp .text:71A9F657 push ecx .text:71A9F658 push ecx .text:71A9F659 cmp off_71AA4028, offset sub_71A99448 .text:71A9F663 push esi .text:71A9F664 jnz short loc_71A9F688 .text:71A9F666 cmp dword_71AA402C, 0 .text:71A9F66D jz short loc_71A9F688 .text:71A9F66F push dwTlsIndex ; dwTlsIndex .text:71A9F675 call ds:TlsGetValue .text:71A9F67B test eax, eax .text:71A9F67D mov [ebp+var_8], eax .text:71A9F680 jz short loc_71A9F688 .text:71A9F682 and [ebp+dwErrCode], 0 .text:71A9F686 jmp short loc_71A9F698 .text:71A9F688 ; ---------------------------------------------------------------------- ----- .text:71A9F688 .text:71A9F688 loc_71A9F688: ; CODE XREF: WSARecvFrom+12j .text:71A9F688 ; WSARecvFrom+1Bj ... .text:71A9F688 lea eax, [ebp+var_8] .text:71A9F68B push eax .text:71A9F68C call sub_71A994C1 .text:71A9F691 test eax, eax .text:71A9F693 mov [ebp+dwErrCode], eax .text:71A9F696 jnz short loc_71A9F6F7 .text:71A9F698 .text:71A9F698 loc_71A9F698: ; CODE XREF: WSARecvFrom+34j .text:71A9F698 push [ebp+dwFlags] ; dwFlags .text:71A9F69B call sub_71A92B41 .text:71A9F6A0 mov esi, eax .text:71A9F6A2 test esi, esi .text:71A9F6A4 jz short loc_71A9F6F0 .text:71A9F6A6 push edi .text:71A9F6A7 lea ecx, [ebp+dwErrCode] .text:71A9F6AA push ecx .text:71A9F6AB push [ebp+var_8] .text:71A9F6AE mov eax, [esi+0Ch] .text:71A9F6B1 push [ebp+lpCompletionRoutine] .text:71A9F6B4 push [ebp+lpOverlapped] .text:71A9F6B7 push [ebp+lpFromlen] .text:71A9F6BA push [ebp+lpFrom] .text:71A9F6BD push [ebp+lpFlags] .text:71A9F6C0 push [ebp+lpNumberOfBytesRecvd] .text:71A9F6C3 push [ebp+dwBufferCount] .text:71A9F6C6 push [ebp+lpBuffers] .text:71A9F6C9 push [ebp+dwFlags] .text:71A9F6CC call dword ptr [eax+5Ch] .text:71A9F6CF mov ecx, esi ; lpAddend .text:71A9F6D1 mov edi, eax .text:71A9F6D3 call sub_71A92B26 .text:71A9F6D8 test edi, edi .text:71A9F6DA pop edi .text:71A9F6DB jnz short loc_71A9F6E1 .text:71A9F6DD xor eax, eax .text:71A9F6DF jmp short loc_71A9F703 .text:71A9F6E1 ; ---------------------------------------------------------------------- ----- .text:71A9F6E1 .text:71A9F6E1 loc_71A9F6E1: ; CODE XREF: WSARecvFrom+89j .text:71A9F6E1 cmp [ebp+dwErrCode], 0 .text:71A9F6E5 jnz short loc_71A9F6F7 .text:71A9F6E7 mov [ebp+dwErrCode], 277Bh .text:71A9F6EE jmp short loc_71A9F6F7 .text:71A9F6F0 ; ---------------------------------------------------------------------- ----- .text:71A9F6F0 .text:71A9F6F0 loc_71A9F6F0: ; CODE XREF: WSARecvFrom+52j .text:71A9F6F0 mov [ebp+dwErrCode], 2736h .text:71A9F6F7 .text:71A9F6F7 loc_71A9F6F7: ; CODE XREF: WSARecvFrom+44j .text:71A9F6F7 ; WSARecvFrom+93j ... .text:71A9F6F7 push [ebp+dwErrCode] ; dwErrCode .text:71A9F6FA call ds:SetLastError .text:71A9F700 or eax, 0FFFFFFFFh .text:71A9F703 .text:71A9F703 loc_71A9F703: ; CODE XREF: WSARecvFrom+8Dj .text:71A9F703 pop esi .text:71A9F704 leave .text:71A9F705 retn 24h .text:71A9F705 WSARecvFrom endp Имеет следующий формат Code: C++ int WSARecvFrom( __in SOCKET s, __inout LPWSABUF lpBuffers, __in DWORD dwBufferCount, __out LPDWORD lpNumberOfBytesRecvd, __inout LPDWORD lpFlags, __out struct sockaddr lpFrom, __inout LPINT lpFromlen, __in LPWSAOVERLAPPED lpOverlapped, __in LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine ); откуда WSARecvFrom берет данные?* Какие данные? ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
gena-m Ранг: 87.8 (постоянный), 10thx Активность: 0.07↘0 Статус: Участник	Создано: 14 февраля 2010 23:59 · Личное сообщение · #3 Это твой топик на wasme http://www.wasm.ru/forum/viewtopic.php?pid=367080#p367080 ? Если есть доступ с обоих сторон нужно смотреть что приходит на сервер и уходит оттдуда. Если нет доступа нужно искать описание самой утилиты pbucon.exe, или попровать два компа связать как сервер и клиент и посмотреть, я сомневаюсь что быстрее получится разобрать пакеты и полностью отреверсить эту утилиту. Я так понимаю не известно даже на каких протоколах она работает. ----- Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше
Yuri4850 Ранг: 1.4 (гость) Активность: 0=0 Статус: Участник	Создано: 15 февраля 2010 00:36 · Поправил: Yuri4850 · Личное сообщение · #4 Спасибо, конечно, за ответы. Но. Формат функции я смотрел в MSDN. IDA у меня тоже есть, приведенный листинг я видел. Мне непонятен смысл строки (кажется, здесь следующее звено цепочки): Code: .text:71A9F6CC call dword ptr [eax+5Ch] Что вызывается здесь? Доступа с той стороны нет. pbucon сам по себе уже неинтересен - работает по UDP, данные не искажает, даже никак не шифрует (смотрел буфер, который ему заполняет recvfrom).
SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 15 февраля 2010 01:16 · Личное сообщение · #5 Вообще *recv уйдёт в ZwDeviceIoControl если тебе от этого легче. ----- Shalom ebanats!
Yuri4850 Ранг: 1.4 (гость) Активность: 0=0 Статус: Участник	Создано: 15 февраля 2010 02:19 · Поправил: Yuri4850 · Личное сообщение · #6 Легче конечно, имел дело с Zw* и Nt* функциями . Только сомневаюсь, что вот так сразу WSARecvFrom ---> ZwDeviceIoControl. Можно чуть подробнее?
SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 15 февраля 2010 02:36 · Личное сообщение · #7 nt4\private\net\sockets\winsock2\wsp\msafd\recv.c Code: // // Receive the data on the socket. // status = NtDeviceIoControlFile( (HANDLE)Handle, event, apcRoutine, apcContext, ioStatusBlock, IOCTL_AFD_RECEIVE, &recvInfo, sizeof(recvInfo), NULL, 0 ); ----- Shalom ebanats!
Yuri4850 Ранг: 1.4 (гость) Активность: 0=0 Статус: Участник	Создано: 15 февраля 2010 02:58 · Поправил: Yuri4850 · Личное сообщение · #8 NtDeviceIoControlFile( IN HANDLE FileHandle, IN HANDLE Event OPTIONAL, IN PIO_APC_ROUTINE ApcRoutine OPTIONAL, IN PVOID ApcContext OPTIONAL, OUT PIO_STATUS_BLOCK IoStatusBlock, IN ULONG IoControlCode, IN PVOID InputBuffer OPTIONAL, IN ULONG InputBufferLength, OUT PVOID OutputBuffer OPTIONAL, IN ULONG OutputBufferLength); Точно 7-й и 8-й параметры нужны? Не 9-й и 10-й? Хотя это экспериментально выяснить смогу... Единственное, данные в буфере будут сжатыми или так сказать открытым текстом?
GPcH Ранг: 631.1 (!), 62thx Активность: 0.37↘0.01 Статус: Участник Автор VB Decompiler	Создано: 15 февраля 2010 03:11 · Поправил: GPcH · Личное сообщение · #9 Yuri4850 пишет: call dword ptr [eax+5Ch] Что вызывается здесь? Стандартный ООП вызов метода объекта. eax в данном случае это указатель на VTable, а 5C это смещение по ней. Обычно так вызываются свойства и методы объектов. ----- Никогда не делай то, что возможно. Стремись сделать то что невозможно впринципе!
Yuri4850 Ранг: 1.4 (гость) Активность: 0=0 Статус: Участник	Создано: 15 февраля 2010 17:07 · Личное сообщение · #10 Всем спасибо, проблема решена. Тему можно закрывать/удалять.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 15 февраля 2010 18:07 · Личное сообщение · #11 Линк на второй топик https://cracklab.ru/f/action=locktopic&forum=2&topic=15801&chstat=1 В следующий раз в баню поедешь надолго.

Для печати