Патч драйвера для Syser Debugger

Сейчас на форуме: vsv1, r0lka, -Sanchez-, testrev1337, johnniewalker, Kybyx (+3 невидимых)

Посл.ответ	Сообщение
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 27 февраля 2010 00:52 · Поправил: DenCoder · Личное сообщение · #1 Возникла необходимость патчануть драйвер syser.sys. Но он себя защищает от изменений. Возможная причина бсодов на компах с кучей установленного ПО - какой-то кривой драйвер сбивает селекторы. А в коде syser.sys есть места, где явно используется ss. Много времени потратил на поиски причин. Сейчас нужно быстро проверить мою догадку. Если я прав, выложу новый syser.sys. Может, кто-то уже копался в нем и может подсказать, как обойти его защиту? Заранее спасибо! ___________________________________ Пробовал пофиксить checksum в PE-заголовке прогой PETools - результата нет. В ручном режиме патченный файл не грузится - StartService возвращает 0, GetLastError - ERROR_BAD_DRIVER (0x7D1). ----- IZ.RU

Av0id Ранг: 516.1 (!), 39thx Активность: 0.28↘0 Статус: Участник	Создано: 27 февраля 2010 07:32 · Личное сообщение · #2 а может он подписан?
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 27 февраля 2010 08:13 · Личное сообщение · #3 cat-файла нет, значит и цифровой подписи. ----- IZ.RU
progopis Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 27 февраля 2010 12:41 · Личное сообщение · #4 DenCoder пишет: Пробовал пофиксить checksum в PE-заголовке прогой PETools - результата нет Это обязательное условие!
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 27 февраля 2010 18:04 · Личное сообщение · #5 DenCoder драйверы скинь: оригинальный и пропатченный ----- EnJoy!
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 27 февраля 2010 20:46 · Личное сообщение · #6 В аттаче архив, в нем два драйвера: оригинальный и пропатченный. Изменил один байт по смещению 3571C, старое значение 0x36 (префикс ss), новое - 90 (NOP). 78cc_27.02.2010_CRACKLAB.rU.tgz - Syser.rar ----- IZ.RU
vptrlx Ранг: 56.1 (постоянный), 9thx Активность: 0.04↘0 Статус: Участник	Создано: 27 февраля 2010 21:01 · Личное сообщение · #7 checksum не похож на пофиксенный
progopis Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 27 февраля 2010 22:36 · Поправил: Модератор · Личное сообщение · #8 Всё прекрасно открывается и работает. Но если честно ваша квалификация вызывает сомнения, если вы не знаете, что CRC надо править.
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 28 февраля 2010 00:48 · Поправил: DenCoder · Личное сообщение · #9 В выложенном пропатченном файле checksum не профиксена. Для патченного должна быть 0015E011 по мнению PETools, для оригинального 0015DFB7... Но профиксенная сумма не исправляет ничего! Пробую перезагрузиться (не люблю это делать, поскольку часто множество задач трудится: WinHex, Ida(2), OllyDbg, WinDbg, devenv, dexplore, iexplore (с кучей вкладок))... ----- IZ.RU
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 28 февраля 2010 01:03 · Поправил: DenCoder · Личное сообщение · #10 Все то же мамое... Progopis, checksum в хедере и CRC - разные вещи. Хотя бы по алгоритмам. В официальной документации больше нигде нет полей с чексуммами или CRC, если только разраб сам не вставит. ______________________________________ Оказалось, что PETools фиксит чексумму, но не сохраняет автоматом. Новый драйвер пошел, но опять вывалился в BSOD. Все правильно, теперь вместо первого #SS должно быть #GP... Продолжу исследования в своем блоге... ВСЕМ СПАСИБО!!! ______________________________________ Да, так и есть - на той же самой команде возникло исключение, но #GP вместо #SS, поскольку и ds тоже сбит. А изменить сегмент на cs нельзя, т.к. при этом невозможна будет запись... Думаю, если дело все-таки коснется полностью отпаченного драйвера, можно будет открыть тему? ----- IZ.RU
progopis Ранг: 101.0 (ветеран), 344thx Активность: 1.15↘0 Статус: Участник	Создано: 28 февраля 2010 09:54 · Личное сообщение · #11 DenCoder пишет: Думаю, если дело все-таки коснется полностью отпаченного драйвера, можно будет открыть тему? В ЛС модератору напишешь.

Для печати