VMMap - eXeL@B

Сейчас на форуме: sashalogout, bartolomeo, artyavmu (+8 невидимых)

Посл.ответ	Сообщение
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 24 февраля 2009 15:23 · Поправил: Jupiter · Личное сообщение · #1 VMMap Mark Russinovich, Bryce Cogswell v1.0 выпущена 23 февраля 2009 Визуальное представление карты памяти, принадлежащей процессу. VMMap @sysinternals http://technet.microsoft.com/en-us/sysinternals/dd535533.aspx Скачать: VMMap.zip http://download.sysinternals.com/files/vmmap.zip ----- EnJoy!

vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 24 февраля 2009 15:39 · Личное сообщение · #2 Забавная и полезная утилита. +1
coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 24 февраля 2009 16:53 · Личное сообщение · #3 а не подобная утилита у Джефри Рихтера была? ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
HOMEZ Ранг: 29.0 (посетитель) Активность: 0.01↘0 Статус: Участник	Создано: 24 февраля 2009 17:14 · Личное сообщение · #4 В About: Portions based on code by Jeffrey Richter
OKOB Ранг: 527.7 (!), 381thx Активность: 0.16↘0.09 Статус: Участник Победитель турнира 2010	Создано: 24 февраля 2009 17:16 · Личное сообщение · #5 coderess пишет: а не подобная утилита у Джефри Рихтера была? В About o этом честно написано Portions based on code by Jeffrey Richter ----- 127.0.0.1, sweet 127.0.0.1
Flint Ранг: 238.8 (наставник), 67thx Активность: 0.2↘0 Статус: Участник CyberHunter	Создано: 24 февраля 2009 17:20 · Личное сообщение · #6 vnekrilov пишет: Забавная и полезная утилита. +1 Красиво да и только Какая практическая польза?! ----- Nulla aetas ad discendum sera
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 24 февраля 2009 17:47 · Поправил: Clerk · Личное сообщение · #7 Ну как всегда, хип, рмт.. Выносится легко, элементарный код подвешивает приложение, выдавая сообщение при попытке выбора этого процесса: Code: .686 .model flat, stdcall option casemap :none include \masm32\include\ntdll.inc includelib \masm32\lib\ntdll.lib .code Entry proc Local Response:ULONG assume fs:nothing mov eax,fs:[TEB.Peb] mov eax,PEB.Ldr[eax] mov eax,PEB_LDR_DATA.InLoadOrderModuleList[eax] lea edx,InitRoutine mov eax,LDR_DATA_TABLE_ENTRY.InLoadOrderModuleList.Flink[eax] lock xchg LDR_DATA_TABLE_ENTRY.EntryPoint[eax],edx invoke ZwSuspendThread, NtCurrentThread, NULL InitRoutine: invoke ZwRaiseHardError, STATUS_ACCESS_DENIED, 1, 0, 0, OptionOkNoWait, addr Response invoke ZwTerminateProcess, NtCurrentProcess, STATUS_SUCCESS Entry endp end Entry Не говоря уже про структуру куч, стоит сделоть не валидным один из элементов, как приложение вероятно слетит на необработанном исключении, ибо юзоется бажный функционал получения слепков(хотя и нативный). Имхо порченая утилита .
coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 24 февраля 2009 19:19 · Поправил: coderess · Личное сообщение · #8 Мля, еле собрал твой Код (поправлено ;)), действительно робит // Оля также говорит, вернее система говорит об ошибке ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 24 февраля 2009 19:25 · Поправил: coderess · Личное сообщение · #9 Вот переписал структуры, что бы собрать файл: Главный файл превратился в: Code: .686 .model flat, stdcall option casemap :none ;include \masm32\include\ntddk.inc include \masm32\include\ntdll.inc ;includelib \masm32\lib\ntddk.lib includelib \masm32\lib\ntdll.lib include teb.inc LDR_DATA_TABLE_ENTRY struct InLoadOrderModuleList LIST_ENTRY <> ;+0 InMemoryOrderModuleList LIST_ENTRY <> ;+8 InInitializationOrderModuleList LIST_ENTRY <> ;+16(10h) DllBase PVOID ? ;+24(18h) EntryPoint PVOID ? ;+28(1Ch) SizeOfImage ULONG ? ;+32(20h) in bytes FullDllName UNICODE_STRING <> ;+36(24h) BaseDllName UNICODE_STRING <> ;+44(2Ch) Flags ULONG ? ;+52(34h) LDR_* LoadCount USHORT ? ;+56(38h) TlsIndex USHORT ? ;+58(3Ah) HashLinks LIST_ENTRY <> ;+60(3Ch) SectionPointer PVOID ? ;+68(44h) CheckSum ULONG ? ;+72(48h) TimeDateStamp ULONG ? ;+76(4Ch) LoadedImports PVOID ? ;seems they are exist only on XP !!! EntryPointActivationContext PVOID ? ;-same- LDR_DATA_TABLE_ENTRY ends PLDR_DATA_TABLE_ENTRY typedef ptr LDR_DATA_TABLE_ENTRY .code Entry proc Local Response:DWORD assume fs:nothing mov eax,fs:[TEB.Peb] mov eax,PEB.Ldr[eax] mov eax,PEB_LDR_DATA.InLoadOrderModuleList[eax] lea edx,InitRoutine mov eax,LDR_DATA_TABLE_ENTRY.InLoadOrderModuleList.Flink[eax] lock xchg LDR_DATA_TABLE_ENTRY.EntryPoint[eax],edx ; NtCurrentThread equ -2 invoke ZwSuspendThread, -2, 0 InitRoutine: invoke ZwRaiseHardError, STATUS_ACCESS_DENIED, 1, 0, 0, 7, addr Response ;NtCurrentProcess equ -1 invoke ZwTerminateProcess, -1, STATUS_SUCCESS Entry endp end Entry ----------- d2f8_24.02.2009_CRACKLAB.rU.tgz - AntiAttach Code by Clerk.rar ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 24 февраля 2009 22:47 · Поправил: Clerk · Личное сообщение · #10 Это не PoC, а просто код завершающий удалённый поток, причём поток этот скрыт от отладчика(ThreadHiddenFromDebugger). Всеголишь установка нотификатора на создание потока. С одной стороны авторы поступили правильно(использовали синхронизацию по эвентпаиру, на котором основной поток и виснет, ожидая удалённый), но нужно было создать поток, получающий список куч и прибивать его по таймауту. В большинстве же случаем этот флаг сбрасывают, изза чего выполняется возврат и далее возникает исключение. Данный баг имеют примерно 8 из 10 приложений. Собственно для слепков куч я описывал уже уязвимость: Функция RtlQueryProcessDebugInformation в случае уничтожения удалённого потока возвращает код завершения потока(ExitStatus), который далее возвращает ThpCreateRawSnap(). Отладочный буфер создаётся, но в нём поля определяющие информацию о кучах заполнены нулями вследствие ошибки. Далее по возврату из функции ThpCreateRawSnap() проверяется код ошибки и если он больше либо равен нулю вызывается ThpAllocateSnapshotSection(). Из ThpAllocateSnapshotSection() выполняется обращение к буферу с информацией: if (dwFlags & TH32CS_SNAPHEAPLIST) { SnapShotSize += RawDebugInfo->Heaps->NumberOfHeaps * sizeof(HEAPLIST32); HeapListCount = RawDebugInfo->Heaps->NumberOfHeaps; } Heaps равно нулю, инструкция выполняет чтение по этому адресу, а там память не выделена и возникает исключение, а CreateToolhelp32Snapshot не устанавливает сех-фрейм.
coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 24 февраля 2009 23:11 · Личное сообщение · #11 Ага, попровил. 8 из 10 приложений если не 10 из 10, что-то я не видел приложений которые действуют по выше описанному, дабы избежать ложных данных. С одной стороны авторы поступили правильно(использовали синхронизацию по эвентпаиру, на котором основной поток и виснет, ожидая удалённый) По ходу, так все делают, мудрят с объектами событиями/синхронизации ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 24 февраля 2009 23:27 · Личное сообщение · #12 coderess Нет, я это юзол на различных мониторах который получают инфу о кучах, практически все падали. Например WinApiOwerride, есчо какието уже не помню. > По ходу, так все делают, мудрят с объектами событиями/синхронизации Ошибаешся, я имел ввиду что использование эвентпаира явно указывается как один из параметров RtlCreateQueryDebugBuffer, собственно он и инициализирует структуры для дальнейшего получения слепков. Обычно этот флаг не устанавливают, по крайней мере это первая софтина, которая его установила.

Для печати