Доступ к оригинальному коду приложения защищенного любым протектором до недавнего времени выполнялся довольно просто - любой дебагер с защитой от антидебага и далее дело техники, поиск ОЕП, бряк и дамп.
Сейчас же протекторы сделали шаг вперед и вся защита от антидебага уже не действует. Конкретный пример, вмпрот версии 3.2 + x64dbg + ScillaHide дает отрицательный результат что при прямом старте, что при аттаче. Драйверный же TitanHide на Windows 10 вообще не удается установить. Пока найдено такое решение вопроса - запуск приложения, дамп его процесса, загрузка в дебаг/дизасм и реверс кода. Довольно хорошая утилитка для этого имеется, например --> Process Dump <--. Но с восстановлением импорта в ней имеются недоработки, местами ломает код самого приложения, но решение тоже имеется - делать два дампа, один с импортом для дизасма, а второй без импорта для дебагера. Всё прекрасно и всё работает, основная задача получить доступ к оригинальному коду для его исследования решена. Но есть одно но, в данном случае теряется начальная инициализация статических переменных, а их первоначальное значение важно для правильного реверса кода. Вопрос, имеются ли какие либо инструменты позволяющие запуcтить приложение и остановить его на указанном адресе?
Была тут одна интересная тема от Инде по поиску ЕП, но он её закрыл. В принципе, я думаю, эту задачу его визору решить по силам, только нужно изменить формулировку, не искать ОЕП, т.к. в общем случае её может и не быть, а довести приложение до заданного адреса.

-----
Everything is relative...

| Сообщение посчитали полезным:

Для такой цели можно лоадер сделать, который зациклит прогу в заданном месте. Я так 3 старфорс в своё время на оеп останавливал, далее аттачился, дампил и восстанавивал импорт. Такой своеобразный обход антидебага

| Сообщение посчитали полезным:

Vamit пишет:
Была тут одна интересная тема от Инде по поиску ЕП, но он её закрыл. В принципе, я думаю, эту задачу его визору решить по силам
Есть также unicorn, которым бы наверное это тоже можно решить. Про бесконечный цикл на оеп тоже хороший совет, такое тоже мелькало в других темах. По дампу находишь оер, берешь какую-нибудь ближайшую апи, лодырем перехватываешь и поймав с нужным адресом возврата зацикливаешь.

-----
2 оттенка серого

| Сообщение посчитали полезным:

f13nd

> По дампу находишь оер

Опять двацать пять.. как находишь среди событий. Это не вопрос, я даже не спрашиваю.

Vamit

Я давно говорил что отладка - не способ и не инструмент. Смотри - сбрасываем рабочий набор одним сервисом, затем его запрашиваем. Получается кернел лог со всеми вашими действиями(дамп выборок). Две апи существующие с xp и до сих пор ваши" плагины это не обрабатывают. Фактически обрабатываются лишь задействованные механизмы антиотладки. Любое изменение в механизмах приводит к неработоспособности всего этого набора тулз.

> Вопрос, имеются ли какие либо инструменты позволяющие запускать приложение и останавливать его на указанном адресе?

Таким образом было найдено множество уязвимостей в ядре --> Link <--, несколько человек реализовали гипервизор, который отслеживал повторную выборку данных. Так находился повторный дереференс указателей, а значит возможность рц атаки на ядро.

Но это всё глобальное, если нужно локально сделать, то инструментов нет.

Добавлено спустя 1 час 13 минут
Vamit

> нужно изменить формулировку, не искать ОЕП

Вам нужно понять что это чисто викс методы, это лишь реализация под конкретную задачу. Это нужно что бы незаметно брать всё апп под контроль, реализовать софт анклавы(сокрытие памяти), обойти аввм. Данного типа визор так устроен, что можно на всё ап поставить атрибут N/X. В первых реализациях была исходная цель, это всё было запилено на высокий профайл - работа апп под визором не отличается от прямого исполнения, для это те все темы и нужны были; оптимизация циклов етц. Задача поиска EP заместила реализацию быстрого визора, я остановился на половине реализации. Там сборка в памяти для очень быстрого исполнения. Эти реализации не уместны в связи со сложностью, тоесть тут нет смысла это обсуждать.

Так или иначе если вы хотите это использовать, то придётся:

- собирать это налету", для этого нужно разобраться как устроен визор. Но тогда любые задачи легко решаются.
- это всё написано на масме 32. Если нужен порт, то варианта два - либо реализовать на си, либо собирать копию под 64, в таком случае изменений минимум, механизмы теже.

- С нуля реализовать это никто не может, слишком много нюансов, куча времени уходило на отладку, примерно год.

-----
vx

| Сообщение посчитали полезным: mak

Vamit пишет:
Сейчас же протекторы сделали шаг вперед и вся защита от антидебага уже не действует. Конкретный пример, вмпрот версии 3.2 + x64dbg + ScillaHide дает отрицательный результат что при прямом старте
--> Link <--

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным: BlackCode

difexacaw пишет:
- это всё написано на масме 32. Если нужен порт, то варианта два - либо реализовать на си, либо собирать копию под 64, в таком случае изменений минимум, механизмы теже.

Мне помнится, что ты говорил только про 32 битные системы, уточнив что в х64 твой енжин работать не будет. Может я что-то путаю ..

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным:

mak

Это же сборки под разные архитектуры. Под 64 есть эмулятор 32 wow. Но это не 64.

-----
vx

| Сообщение посчитали полезным:

Можно использовать pintool. В заданном адресе можно записать инструкцию eb fe (зацикливание), а потом отсоединить pintool и подключиться дебаггером.

| Сообщение посчитали полезным:

В заданном адресе можно записать инструкцию eb fe (зацикливание)
Записать куда, в сегмент кода? Дак он ещё пустой на момент старта проги, а когда вмпрот туда образ распакует от записанного ничего не останется.

-----
Everything is relative...

| Сообщение посчитали полезным:

Записать после распаковки конечно. Дайте программу, попробую остановиться в нужном месте.

| Сообщение посчитали полезным:

Vamit

> он ещё пустой на момент старта проги, а когда вмпрот туда образ распакует от записанного ничего не останется.

Тоесть я так понял нужно реализовать два значения в одной области памяти в зависимости от доступа к этой памяти ?

-----
vx

| Сообщение посчитали полезным:

difexacaw
Нет, нужно просто остановить исполнение программы на заданном адресе.

-----
Everything is relative...

| Сообщение посчитали полезным:

Vamit

Почему тогда не сделать по простому, точку останова поставить к примеру.

-----
vx

| Сообщение посчитали полезным:

difexacaw
Вы тему читали? Вмпрот ловит все отладчики и терминирует приложение.

-----
Everything is relative...

| Сообщение посчитали полезным:

Vamit

Я про отладчик не говорю. Простую обработку ловушки написать и заинжектить. Либо в немного более сложном случае использовать запрет на доступ к памяти и обработать ловушки.

Добавлено спустя 7 минут
А есчо вам ведь не нужен универсальный вариант, у вас конкретная ведь версия прота. Почему не посмотреть что там по антидебагу, написать фильтры ?

-----
vx

| Сообщение посчитали полезным:

Vamit Прога грузит библиотеки? Если грузит, прицепить свою длл к одной их них, а в ней уже запустить тред с проверкой на наличие нужных байт по заданному адресу, затем зациклить прогу, либо то же самое лоадером - проверка+запись.

| Сообщение посчитали полезным:

Прога грузит библиотеки? Если грузит, прицепить свою длл к одной их них
Грузит, но только системные, своих нет. Вообще это всё полуфабрикатные решения, хотелось бы универсальный вариант, позволяющий останавливать любую программу на заданном адресе, работающую в системе Вин10 как в х86, так и в х64 режимах.

-----
Everything is relative...

| Сообщение посчитали полезным:

Vamit

Можете семпл любой вмп накрыть 86 и выложить ?

-----
vx

| Сообщение посчитали полезным:

Можете семпл любой вмп накрыть 86 и выложить ?
Для этого нужен последний Вмп 3.2, у меня его нет, а со всеми предыдущими проблема отсутствует. Могу только попросить тех у кого он есть сделать тестовый семпл с максимальной защитой.

-----
Everything is relative...

| Сообщение посчитали полезным:

Vamit

Только опцию выключите, что бы он варю не детектил.

-----
vx

| Сообщение посчитали полезным:

difexacaw

Версии VMP 3.2 есть в сети с ключами для обеих x32-x64 версий, ушло в личку, тестируй

Vamit

Очень странно, что у тебя его нет, тема здесь открыто пробегала ..

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным:

Я немного покопался. Он как то ловит отладчик, видимо через гуй(тень), вот активность до вывода окна с сообщением, что отладчик запален:



Все важные события я пометил. Базовыми сервисами детект невозможен, кроме как запрос токенов - отладочные привилегии етц. Для тени нужно смотреть подробно что за вызовы.

Первая версия олли крэшит, он и раньше её дебагпринтом прибивал. Вторая версия как отладчик просто полный ппц.

Я не использовал запуск под отладчиком, а аттач как jit на EP. Поэтому среда апп запускается не под отладчиком. В модуле нет тлс, которая могла бы сработать до еп.

Кроме кучи тск интересных событий больше нет.

-----
vx

| Сообщение посчитали полезным: Jupiter, mak

difexacaw
По тулзе: предлагаю в лог также писать результат вызова, чуть более информативно будет.

difexacaw пишет:
NtOpenKey(\REGISTRY\USER\S-1-5-21-1085031214-823518204-682003330-500)
Это твою учётку запрашивает или просто лезет за учётной записью администратора (S-1-5-21-...-500)?

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter

> предлагаю в лог также писать результат вызова, чуть более информативно будет.

В смысле статус после вызова сервиса ?

Это не проблема, только чем это поможет с поиском метода его детекта.

> Это твою учётку запрашивает или просто лезет за учётной записью администратора

Откуда мне знать, я подробности не смотрел. Время ушло на дамп теневых сервисов что бы имена в логе посмотреть, пришлось обрабатывать таблицы j00ru, в сети ничего кроме этого не нашлось.

А есчо гемор с олли, она столь глючна, что нужна куча времени что бы с ней нормально работать, пофиксить некоторые детали.

Сам же вмп этой версии без каких либо проблем запускается под dye, только это как и раньше долго варится - минут 20 он крутит память ничего не вызывая. Можно почистить всё что бы быстрее было, отключить не нужное, но на это нужно время, почему то раньше никто не выложил семплы.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
В смысле статус после вызова сервиса ?

Да


difexacaw пишет:
Это не проблема, только чем это поможет с поиском метода его детекта.

Я специально написал, что это "по тулзе". С методом детекта вмпротом никак не связано.


difexacaw пишет:
пришлось обрабатывать таблицы j00ru

Так они же в удобном csv/json виде, быстро парсятся, чем ты не доволен?


difexacaw пишет:
минут 20 он крутит память ничего не вызывая

А по профайлу на чём самые тормоза? И это на каком проце?

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter

> быстро парсятся, чем ты не доволен?

Масм не переваривает бинарный дамп.

> А по профайлу на чём самые тормоза? И это на каком проце?

Не зависит от проца. Инструмент изначально с нуля писался для доказательства что можно отследить некоторые инструкции, фактически был спор на пиво. Вы ведь читали. Затем задача появилась по поиску EP.

Это не расчитано на профайл изначально, адресный транслятор слишком много выполняет работы, сохраняется стек вызовов и циркулярные буфера, нет кэша инструкций и пакетной обработки..

Пусть в данном случае и медленно, но эти инструменты отлично работают.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Масм не переваривает бинарный дамп
csv и json - это простые текстовые форматы
можно на питоне написать парсер, чтобы ускорить, можно выкинуть лишние варианты и оставить только твою Windows XP (SP3) x86.

Сохранил отдельно json под Windows XP (SP3) x86: win32k-winxp-sp3.json, можешь его грузить и парсить по int номеру syscall.

b12b_26.11.2018_EXELAB.rU.tgz - win32k-winxp-sp3.json

-----
EnJoy!

| Сообщение посчитали полезным:

difexacaw
Ваша пои*ень работает на уровне ring0 или ring3

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ClockMan
Скачай и проверь сам:
--> d3s.7 <--

Взято отсюда:
--> про пивас <--

-----
EnJoy!

| Сообщение посчитали полезным:

у мну лж.exe просто падае под х32дбг на вин10х54
непонятно шо демонстрируецца, то шо дебагвью не ловит ивэтнс?

| Сообщение посчитали полезным: