Сейчас на форуме: (+7 невидимых)

 eXeL@B —› Протекторы —› Антидебаг вмпрота
Посл.ответ Сообщение


Ранг: 241.9 (наставник), 107thx
Активность: 0.14↘0.01
Статус: Участник

 Создано: 16 сентября 2012 14:34
· Личное сообщение · #1

Недавно попался такой файлик
http://www.sendspace.com/file/r9vx5c
Не получается запустить его в отладчике. Вмпрот меня палит. Пробовал с разными сборками оли и разными плагами. Может ли кто-нибудь запустить под отладчиком и выложить свою сборку и настройки, если запуститься?
Второй вопрос:
Прога работает только будучи запущенной explorer ом. Надо подменить имя родительского процесса. Пробовал патчить Process32First - не помогло. Можно попробовать Process32Next, но думаю тоже не даст ничего. Кто знает где хранится структура PROCESSENTRY32? По-любому где-то в fs:[xx] есть указатель...



Ранг: 617.3 (!), 677thx
Активность: 0.54↘0
Статус: Участник

 Создано: 16 сентября 2012 15:41
· Личное сообщение · #2

Вот тут нормально запускается http://www.sendspace.com/file/gzp9gc




Ранг: 328.7 (мудрец), 73thx
Активность: 0.17↘0.01
Статус: Участник

 Создано: 16 сентября 2012 15:49
· Личное сообщение · #3

а если свиппер выкинуть




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 16 сентября 2012 15:54
· Личное сообщение · #4

Если просто имя подменить надо, не проще ли ольку переименовать? Если именно пид и всё по-серьёзному, либо перехватывать функции, либо в ядре патчить.




Ранг: 241.9 (наставник), 107thx
Активность: 0.14↘0.01
Статус: Участник

 Создано: 16 сентября 2012 16:04 · Поправил: Nightshade
· Личное сообщение · #5

С такой сборкой... При свипере падает с ошибкой доступа к памяти. Без свипера то же самое
---------------------------
RFPL_V2.vmp.exe
---------------------------
A debugger has been found running in your system.

Please, unload it from memory and restart your program.
---------------------------
ОК
---------------------------
Archer Имя подменить нельзя. Точнее можно, но получим к примеру такое
[18:02:21] Пожалуйста запустите программу от системы! ParentPID: 4396;
- O:\ххх\explorer.exe
[18:02:21] Windows Seven Ultimate Service Pack 1 32-bit
[18:02:21] Добро пожаловать на сервер RF Universal! (Версия лаунчера: 1.0.1.50)

адд:
Пока писал понял, что туплю
Поместил свой лаунчер в х:\виндовс\експлорер.ехе и все запустилось.
Т е прога проверяет полный путь, а не имя процесса.
Вопрос немного меняется. Как подменить путь и имя. Точнее как можно получить имя родительского процесса, если process32first и process32next пропатчены, а значит используются не они.



Ранг: 189.9 (ветеран), 334thx
Активность: 0.3↘0
Статус: Участник

 Создано: 16 сентября 2012 16:14
· Личное сообщение · #6

Не проще XP взять?



Ранг: 617.3 (!), 677thx
Активность: 0.54↘0
Статус: Участник

 Создано: 16 сентября 2012 16:16 · Поправил: Vovan666
· Личное сообщение · #7

хз, но у меня прекрасно запускается без плясок с explorer из папки F:\Downloads, олькина сборка что выше.
NikolayD
+1
Кстати да! уже второй юзер тупит с семеркой и олькой.




Ранг: 241.9 (наставник), 107thx
Активность: 0.14↘0.01
Статус: Участник

 Создано: 16 сентября 2012 16:22 · Поправил: Nightshade
· Личное сообщение · #8

Как то впадлу поднимать хп из-за кривых плагов. Запускаться то оно будет. Работать не будет.
Code:
  1. 775E4FFB CheckRemoteDebuggerPresent          8BFF          MOV EDI,EDI
  2. 775E4FFD                                     55            PUSH EBP
  3. 775E4FFE                                     8BEC          MOV EBP,ESP
  4. 775E5000                                     837D 08 00    CMP DWORD PTR SS:[EBP+8],0
  5. 775E5004                                     56            PUSH ESI
  6. 775E5005                                     74 34         JE SHORT 775E503B
  7. 775E5007                                     8B75 0C       MOV ESI,DWORD PTR SS:[EBP+C]
  8. 775E500A                                     85F6          TEST ESI,ESI
  9. 775E500C                                     74 2D         JE SHORT 775E503B
  10. 775E500E                                     6A 00         PUSH 0
  11. 775E5010                                     6A 04         PUSH 4
  12. 775E5012                                     8D45 08       LEA EAX,DWORD PTR SS:[EBP+8]
  13. 775E5015                                     50            PUSH EAX
  14. 775E5016                                     6A 07         PUSH 7
  15. 775E5018                                     FF75 08       PUSH DWORD PTR SS:[EBP+8]
  16. 775E501B                                     FF15 4C155B77 CALL DWORD PTR DS:[<&ntdll.NtQueryInform>; ntdll.ZwQueryInformationProcess
  17. 775E5021                                     85C0          TEST EAX,EAX
  18. 775E5023                                     0F8C FD580300 JL 7761A926
  19. 775E5029                                     33C0          XOR EAX,EAX
  20. 775E502B                                     3945 08       CMP DWORD PTR SS:[EBP+8],EAX
  21. 775E502E                                     0F95C0        SETNE AL
  22. 775E5031                                     8932          MOV DWORD PTR DS:[EDX],ESI
  23. 775E5033                                     C090 405E5DC2>RCL BYTE PTR DS:[EAX+C25D5E40],8
  24. 775E503A                                     006A 57       ADD BYTE PTR DS:[EDX+57],CH
  25. 775E503D                                     FF15 10165B77 CALL DWORD PTR DS:[<&ntdll.RtlSetLastWin>; ntdll.RtlSetLastWin32Error
  26. 775E5043                                     E9 E4580300   JMP 7761A92C
  27.  
  28.  

В конце видно кучу мусора - это антидебаг вамита.



Ранг: 590.4 (!), 408thx
Активность: 0.36↘0.18
Статус: Модератор

 Создано: 16 сентября 2012 17:03
· Личное сообщение · #9

GetModuleFileName

-----
старый пень


Ранг: 681.5 (! !), 405thx
Активность: 0.42↘0.21
Статус: Участник
ALIEN Hack Team

 Создано: 16 сентября 2012 17:38
· Личное сообщение · #10

Nightshade пишет:
Точнее как можно получить имя родительского процесса, если process32first и process32next пропатчены, а значит используются не они

Известно как. NtQuerySystemInformation. При SystemInformationClass == SystemProcessInformation структуры SYSTEM_PROCESS_INFORMATION имеют поля ProcessId и InheritedFromProcessId. Вот это и надо подменять. В идеале - хук в ядре.

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным: Nightshade, plutos


Ранг: 328.7 (мудрец), 73thx
Активность: 0.17↘0.01
Статус: Участник

 Создано: 16 сентября 2012 18:09
· Личное сообщение · #11

распакованная падает
чего там в LA напихано кроме хэша cpuid?




Ранг: 57.3 (постоянный), 67thx
Активность: 0.06↘0
Статус: Участник

 Создано: 16 сентября 2012 18:30
· Личное сообщение · #12

Win 7 SP1, чистая Olly + StrongOD + dbghelp = полет нормальный с твоим файликом...



Ранг: 31.0 (посетитель), 70thx
Активность: 0.14↘0
Статус: Участник

 Создано: 16 сентября 2012 20:17 · Поправил: schokk_m4ks1k
· Личное сообщение · #13

Nightshade
-Sanchez- пишет:
Win 7 SP1, чистая Olly + StrongOD + dbghelp = полет нормальный с твоим файликом...
У меня тоже отлично запускается! помню была такая проблема, оказывается, непонятно почему, файл dbghelp у меня лежал в плагинах из-за этого и выплевывало месседж! (Win7)
r99 пишет:
распакованная падает
кстати тоже такая хрень! непонятно почему! пытался отловить - пока безуспешно!




Ранг: 241.9 (наставник), 107thx
Активность: 0.14↘0.01
Статус: Участник

 Создано: 16 сентября 2012 22:00 · Поправил: Nightshade
· Личное сообщение · #14

Засплайсил ZwQuerySystemInformation, проблема с именем процесса исчезла. Спасибо ARCHANGEL. С олькой так и не разобрался. Походу это тараканы в моей системе. Если кто выложит распакованный файл, буду благодарен. Так как через аттач неудобно иследовать код.


 eXeL@B —› Протекторы —› Антидебаг вмпрота
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати