Пропатчил приложение.
Суть простая: подгрузить DLL, сгенерировать в ней данные, заменить существующие.
Пишутся данные в RW секцию, созданную загрузчиком, но тем не менее вылетает ошибка доступа.
При этом под отладчиком или админскими правами - заводится.

Вопрос: почему не даёт писать и решаемо ли это без "официальных" админ прав?

| Сообщение посчитали полезным:

Слишком мало информации, чтобы что-то советовать. Где файлы для теста?

| Сообщение посчитали полезным:

Lambda, сомневаюсь, что наличие "неполноценного" экзешника и моей ДЛЛ принципиално.
ДЛЛ без ини-файла работать не будет, а в нем личная инфа...
Да и повторюсь, проблема, по моему, распространенная не уникальная, где-то попадалось на глаза такое, найти токо не могу, думаю, люди "постарше" нас, направление раскопок или результат, даже, и без атача подскажут...
Мне на сегодня и такое покатит, но на будущее стоило бы знать что-почему...

| Сообщение посчитали полезным:

AE, "будем посмотреть"

| Сообщение посчитали полезным: AE

AE "личную инфу" можешь выпилить, и сварганить тестовый набор. а если ты рассчитываешь, что все кинуться ванговать варики почему не воркает, то у меня для тебя плохие новости.

| Сообщение посчитали полезным:

SReg пишет:
а если ты рассчитываешь, что все кинуться ванговать варики почему не воркает, то у меня для тебя плохие новости.
Это не новости, а просто констатация факта.

Я немного протормозил, загрузка инфы идет после ошибки, так что должно быть достаточно 2х файлов....

Еще чуть-чуть подумав...
- Не зря же разного рода "патчеры" работают от админа, наверное это единственный способ, на самом деле....

На всякий случай, вдруг кому-то не лень, (http://multi-up.com/1244058)

| Сообщение посчитали полезным:

step-by-step trace:
1. Загрузили dll'ку (без админа)
2. Создается секция с RW (API VirtualAlloc?)
3. Туда пишутся данные внутри процесса из dll'ки (или API WriteProcessmemory?)
>вынаходитесьздесь< возникает ошибка ACCESS_VIOLATION?
4. Success write data to RW page

| Сообщение посчитали полезным:

ELF_7719116
Создается секция с RW на точке входа приложения секция уже создана - не мною
Туда пишутся данные внутри процесса из dll'ки совершенно верно, я первым делом ZeroMemory по адресам делаю (на ней и вылет), то есть есть смысл попробовать WriteProcessmemory?
возникает ошибка ACCESS_VIOLATION ну а какая же...

| Сообщение посчитали полезным:

AE пишет:
на точке входа приложения секция уже создана - не мною
AE пишет:
ACCESS_VIOLATION ну а какая же...
точно RW в этом месте? результат VirtualQuery в студию?

AE пишет:
то есть есть смысл попробовать WriteProcessmemory?
Нет
AE пишет:
ZeroMemory по адресам делаю (на ней и вылет
чем memset не понравился?

| Сообщение посчитали полезным:

ELF_7719116 пишет:
RW в этом месте? результат VirtualQuery в студию? 4
Я в начале стартонул менять протект, даже удивился, что мне ето спокойно дало сделать, проверил, а он и был 4
ELF_7719116 пишет:
чем memset не понравился?
а разница? Те же яйца, только напрямую без 2х оберток

| Сообщение посчитали полезным:

AE пишет:
а разница?
непросто так спрашиваю, в каком именно месте валится: CLCreator.(char __stdcall) GetCommandString??
AE пишет:
ДЛЛ без ини-файла работать не будет, а в нем личная инфа...
ну да, а то что в самой dll напихано "личной инфы" (ip, secrectkey, creds) это normalno. просто код, который пишет в секцию оставить, лишнее убрать.

| Сообщение посчитали полезным:

ELF_7719116 пишет:
просто код, который пишет в секцию оставить, лишнее убрать.
спалили....да там много чего личШнОего осталось....не догнал что так можно сделать... ну да ладно....

ELF_7719116 пишет:
непросто так спрашиваю, в каком именно месте валится
Так вот, если убрать ZeroMemory, то на strcpy_s (выходит)... и сообщение краша меняется

При наличии ZeroMemory

Без

Признаюсь сразу - честно: понятия не имею, что это за модуль "StackHash_0a9e" такой, в смысле что это значит...
Вы мне случайно не на "предотвращение выполнения данных (DEP)" намекаете?

| Сообщение посчитали полезным:

намекаю, чтобы вы показали в каком именно месте происходит крэш
библиотека CLCreator, процедура (char __stdcall) GetCommandString??
приаттачится и показать/скопипастить код, который вызывает ntdll и стек вызовов

в GetCommandString не так много участков кода которые чистят регионы, но это не то:


| Сообщение посчитали полезным:

В общем, после беседы с вами, я решил еще раз перепроверить МБоксами свою функцию(естественно без ZeroMemory) - все пишется, все работает до последнего Рет (в смысле функ отрабатывает целиком)....

Приатачившись на ошибке стек вызовов нас отправляет к WaitForMultipleObjectsEx (NtWaitForMultipleObjects)...

| Сообщение посчитали полезным:

AE
Ты столько понаписал в теме, но даже не удосужился показать стек вызовов на момент краша. Твой мегакодес очевидно запорол либо стек либо кучу, либо все вместе. Либо виновато текущее окружение твоей ОС.

| Сообщение посчитали полезным:

Это ведь самая простая ошибка(#AV) из возможных. Если бы была ошибка по синхронизации, то в таком случае причину довольно сложно найти. Но в этом случае разбор исключения столь прост, что даже нет смысла это обсуждать. ТС бери инфу про фаулт(EXCEPTION_RECORD+CONTEXT) и разбирай логическую цепь. Сделай это сам.

-----
vx

| Сообщение посчитали полезным:

Alchemistry пишет:Твой мегакодес очевидно запорол либо стек либо кучу, либо все вместе.
- Стек, на момент выхода из моего участка, настолько непорочен, что даже представить себе сложно нужно, что это так!
- Куча? Я, не использую кучу напрямую, только через STL...
- Про CallStack я писал, думал достаточно, завтра пруфы выложу
- Почему под Админом никакой херни нету???

difexacaw пишет:
Если бы была ошибка по синхронизации, то в таком случае причину довольно сложно найти.
....в общем, завтра скрины выложу...
Поток попытался прочитать или записать виртуальный адрес, для которого у него нет соответствующего доступа. По моему именно это и происходит...

| Сообщение посчитали полезным:

AE пишет:
 Имя модуля с ошибкой:    StackHash_0a9e
  Версия модуля с ошибкой: 0.0.0.0
  Отметка времени модуля с ошибкой: 00000000
  Смещение исключения:     6465656e
  Код исключения: c0000005
  Данные исключения:       00000008

Без ZeroMemory в секции мусор и каким-то образом передаётся управление по адресу 0x6465656e. А такой секции нет, об этом говорят данные исключения: 8. Если заметить, 0x6465656e напоминает часть какой-то ASCII-строки - "need". Подумай, откуда это.

-----
IZ.RU

| Сообщение посчитали полезным:

AE пишет:
- Стек, на момент выхода из моего участка, настолько непорочен, что даже представить себе сложно нужно, что это так!
Так покажи его полностью. Что ты скрываешь? Тема - гадание на кофейной гуще.

AE пишет:
- Почему под Админом никакой херни нету???

Потому что под админом у тебя ВНЕЗАПНО другое окружение. Простой пример - под админом в АП твоей программы может не быть некоего стороннего кода, который просто туда не может попасть из-за разграничения прав. Это настолько элементарно, что у меня возникли серьезные вопросы зачем ты полез куда-то со своим патчем не имея даже базовых знаний об отладке и ОС?

| Сообщение посчитали полезным:

DenCoder пишет:
Без ZeroMemory в секции мусор , если бы просто мусор, проблемы бы не было, мусор и мусор.... я наверное "что-то важное" затираю.... я думал об этом в первую очередь, с толку сбивало различие в поведении при предоставлении прав.... Alchemistry пишет, что запросто, надо проверить
ZeroMemory не дает использовать... для меня, например, это тот еще вопрос: почему записать туда я могу а просто обнулить нет?

| Сообщение посчитали полезным:

AE
Назовите хотя бы одну вразумительную причину, почему Вы до сих пор не скопипастили стек после вызовов (его скриншот) при возникновении исключения?? Дальнейшее обсуждение темы без тех данных бессмысленно, топик - кандидат на закрытие.

Если последний вызов перед фолтом где-то в библиотеке CLCreator, то в каком месте - разберитесь для начала с этим, а потом задавайте вопросы.

| Сообщение посчитали полезным: BlackCode

AE
Засунь код в обработчик исключений и чекай ошибку

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ELF_7719116 пишет:
Назовите хотя бы одну вразумительную причину, почему Вы до сих пор не скопипастили стек после вызовов
Ночью - спал, утром - дома не было (есть свидетели).

Первый вариант


CallStack


Второй вариант


CallStack


Добавлено спустя 5 минут
ClockMan пишет:
Засунь код в обработчик исключений и чекай ошибку
Попробую, мб чудо случится...

| Сообщение посчитали полезным:

AE пишет:
memset(ASCIILine, 0, ASCIISize); -> приводит к ошибке
вопрос к ASCIILine указатель на строку где находится? скрин строки памяти со всеми атребутами, есть ли по тому адресу сама строка, может её там ещё нет?))

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

AE
На скринах WaitForMultipleObjects() относится к обработчику твоего краха. Да и к тому же это в треде, который не относится к ошибке доступа... Из стека треда, в котором произошло исключение, надо вылавливать EXCEPTION_POINTERS...

В 7ке не знаю, как включить более подробный отчёт. Но лучше всего сделать, как сказал Clockman:
ClockMan пишет:
Засунь код в обработчик исключений и чекай ошибку
Это try-catch

Проверь адрес и размер.

AE пишет:
bool __stdcall GetCommandString(_Out_ void* ASCIILine, size_t ASCIISize, _Out_ void* UnicodeLine, size_t UnicodeSize)
Количество аргументов точно 4? Точно __stdcall?

-----
IZ.RU

| Сообщение посчитали полезным:

DenCoder пишет:
Засунь код в обработчик исключений и чекай ошибку херамба, а не ошибка....
Проверенные ексепшены:

Может пропустил какое?

Надо по другому попробовать....

AE пишет:
Попробую, мб чудо случится...
не срослось с чудом кароче

| Сообщение посчитали полезным:

AE пишет:
memset(ASCIILine, 0, ASCIISize); -> приводит к ошибке
ORLY? В таком случае, оно бы и у меня воспроизводилось, и наверняка, в отладчике. Указатели в кучу смотрели, насколько помню. С таким же успехом оно могло и в загрузчике exe крашиться.
Если там что-то в стеке и затирается, то, наиболее вероятно, при получении данных по сокету. Внизу, был цикл, который из recv в буфер байты тащит.
Сделайте уже, пожалуйста, switch на главный поток и покажите стек вызовов. WaitForMultipleObjects принадлежит отладочному потоку.

bartolomeo пишет:
почему самому не выделить память то ?)
... встеке. petrosyan.jpg
Она из heap в загрузчике у него выделялась, но это не точно.
Проблема в том, что:
а) краш воспроизводится только у ТС
б) ТС не нашел до сих пор примерное место, где возникает краш. Это может быть, как и криво реализованный лоадер в точке входа exe, так и при вызове процедуры dllки из него.

| Сообщение посчитали полезным:

а почему самому не выделить память то ?)

ещё вариант поставить железный бряк на память которую затираешь - и увидеть кто ещё в том кусочке памяти хранит свои потроха.

| Сообщение посчитали полезным:

AE
Это не форум гадалок, я тебе 3 дня назад это сообщил. Как соизволишь показать тестовый файл, чтобы воспроизвести твою проблему, напишешь и открою.

| Сообщение посчитали полезным: