В поиске генераторы лоадеров под 64-x битные программы.

| Сообщение посчитали полезным:

А в гугле вас уже забанили?Чем dup не устраивает?

| Сообщение посчитали полезным:

Во, а dup разве 64-х битный? Чего-то я первый раз слышу об этом.

| Сообщение посчитали полезным:

https://exelab.ru/f/action=vthread&forum=6&topic=17825

WriteProcessMemory function

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

Kuzya69 пишет:
Во, а dup разве 64-х битный
Нет,x32,что не мешает ему создавать патчи и лоадеры для x64 программKuzya69 пишет:
Чего-то я первый раз слышу об этом.
Читайте больше

| Сообщение посчитали полезным:

igorca пишет:
не мешает ему создавать патчи и лоадеры для x64 программ
патчи - возможно, а вот с лоадерами тяжко, так как 32битная версия WriteProcessMemory принимает, как ни странно, только 32битный адрес участка памяти - и это ограничивает доступное для правки пространство первыми 4мя гигабайтами, что далеко не всегда является приемлимым вариантом в х64 процессах.

| Сообщение посчитали полезным:

А исходники дуп-а никто не встречал? Может в таком случае перекомпилить его под 64-х битную WriteProcessMemory ?

| Сообщение посчитали полезным:

Kuzya69 пишет:
А исходники дуп-а никто не встречал?

Зачем нужны исходники dup'а? Там что, высшая математика, что ли?
Понадобится лоадер под х64 - брать лоадер под х32 и править. Любой.
Віше дали ссылку на тему, там есть х32 пример от PE_KILL'а.



| Сообщение посчитали полезным:

И где тут обращение по 64-х битному адресу? Если размерность DWord.

Например у меня надо изменить байт по адресу $00000001401ab8e0.
(Где ExeBase=$0000000140000000 и смещение в файле = 1ab8e0 ).
И как это воспримет этот лоадер?

| Сообщение посчитали полезным:

Kuzya69 ну так поправить руками знаний не хватает? интересней же самому.

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Hellspawn
Действительно, не хватает знаний. Намекни поближе к истине, плиз.
Не может же быть так просто (Dword --> Cardinal) ?

| Сообщение посчитали полезным:

Kuzya69 в delphi 7 уже есть вроде UIN64 и INT64
cardinal это тот же dword

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

И этого хватит? Ф-ция WriteProcessMemory отработает как надо в 64-х битной системе, если лоадерная ф-ция поиска базы найдет правильный адрес?
Извиняюсь, что так надоедаю. Просто Win7 (64-х битная), только на работе. Дома все 32-х битное. Вот и хочу подготовиться заранее. Чтоб на работе не терять время.

| Сообщение посчитали полезным:

Kuzya69

вроде бы ZwWow64ReadVirtualMemory64 и ZwWow64WriteVirtualMemory64 нужно юзать.

-----
[nice coder and reverser]

| Сообщение посчитали полезным: Kuzya69

Ну вот и первый затык, на чужом компе проверили. Скомпилировал на 32-х битной Делфи. А проверял скомпиленный лоадер на 64-х битной Win7, прога-жертва тоже 64-х битная.
API GetSystenInfo неверно определяет границы приложения в памяти.
Когда приложение 32-х битное, все правильно, а когда 64-х битное, то границы определяются как для 32-х битного приложения. Следовательно никакой базы приложения потом и не находится.
Функцию GetNativeSystemInfo, мой Делфи вообще не признает. Как быть?

| Сообщение посчитали полезным:

Kuzya69 пишет:
Как быть?

--> Link <--

| Сообщение посчитали полезным:

Что мешает собрать в х64 или выкинуть дельфи и использовать язык, который в состоянии адекватно работать со всеми апи?

| Сообщение посчитали полезным: elch

Kuzya69
базу можно получить и другими способами))) или собрать сразу в 64 постввив XE

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

А если из PE-заголовка взять базу, она всегда будет соответствовать действительности ? Или в 64-битках это не правило?
Чета, у меня GetNativeSystemInfo еще большую ересь показывает.
Archer
Просто из всех языков, которых я знаю плохо, Дельфи я знаю лучше.

| Сообщение посчитали полезным:

Что в х86, что в х64 реальная база может не соответствовать базе из хедера. !Гугл таблица релокаций.

| Сообщение посчитали полезным:

А тогда какой способ поиска ImageBase будет наиболее верным для 64-х битного приложения запущенного в suspend режиме? Имеется ввиду, что лоадер будет 32-х битным. Я хочу сделать лоадер так сказать "не зависимым от разрядности". Потому-что прорамма-жертва есть и 32-х и 64-х битная.

| Сообщение посчитали полезным:

Наиболее верного не будет. Будет недокументированный костыль. Сделай 2 нормальных файла под разные архитектуры и на ходу дропай и запускай просто нужный, как это process explorer делает.

| Сообщение посчитали полезным:

Kuzya69 можно вот так, но код только на си, выдрал из проекта


-----
[nice coder and reverser]

| Сообщение посчитали полезным:

мне всегда было интересно, откуда Archer и Hellspawn обладают специфичными знаниями
Kuzya69
--> Link <-- - поройся. в плане описания функций и вообще

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

Словами можно объяснить, что делает этот оператор?

Чтоб попробовать его на Делфи перенести. Прошу пардона, но пытаюсь врубиться в код от Hellspawn.
Про указатели и разименование вроде понял (последний оператор).

| Сообщение посчитали полезным:

Kuzya69 пишет:
Словами можно объяснить этот оператор?
на дэлфи это будет примерно так


| Сообщение посчитали полезным:

дэльфэ гавно, кардиналы, пакед рекорды, костыли под апи, мракобесие. в sdk все хидеры изкаробки идут под 64бит без наживания дополнительного геммороя аля дэльфэ

| Сообщение посчитали полезным:

Не будет там copymemory, это тупо присваивание указателя.
Может стоит уже почитать матчасть, прежде чем вываливать сюда вопросы по основам?

| Сообщение посчитали полезным:

Archer пишет:
Не будет там copymemory, это тупо присваивание указателя.
гы-гы сколько пишу в дэлфи, ни разу не знал что так можно делать

спасибо

| Сообщение посчитали полезным:

)) Кстати, жутким костылём по Си-шным понятиям считается вот это (присваивание без приведения типа):
- А в делфи ничего, прокатывает.

| Сообщение посчитали полезным: