Восстановление родных команд кода

Сейчас на форуме: _MBK_, Adler (+6 невидимых)

Посл.ответ	Сообщение
tekton Ранг: 10.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 10 сентября 2011 00:15 · Личное сообщение · #1 Вставил несколько своих команд, путём иньекции. Теперь хочу восстановить родные команды, но не получается... Вот пример как я пытаюсь сделать: Code: 00401000 JMP 00401003 00401001 90 00401002 90 00401003 MOV DWORD PTR SS:[00401000],0 После последней команды меня кидает в системную библу, вместо того чтоб записать ноль по адресу. И после этого выскакивает ошибка Что я делаю не так ??? И если можно пример как записать ноль без ошибки

DillerInc Ранг: 283.6 (наставник), 56thx Активность: 0.13↘0 Статус: Участник Author of GeTaOEP	Создано: 10 сентября 2011 00:30 · Личное сообщение · #2 00401000 - это у вас секция кода походу. По-умолчанию, она не имеет прав на запись. ----- the Power of Reversing team
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 10 сентября 2011 01:14 · Личное сообщение · #3 tekton Кидает, видимо, на KiUserExceptionDispatcher. С него начинает разворачиваться обработка исключений в юзверьмоде. В примере, который вы привели, адреса вымышленные? Т.к. сообщение об ошибке говорит, что вы такое пытаетесь провернуть, когда EIP = 0x00401094, а пписать - по адресу 0x00401086. А так - либо в секциях править атрибуты доступа, либо VirtualProtect юзать. ----- Stuck to the plan, always think that we would stand up, never ran. \| Сообщение посчитали полезным: tekton
tekton Ранг: 10.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 10 сентября 2011 01:56 · Поправил: tekton · Личное сообщение · #4 ARCHANGEL пишет: В примере, который вы привели, адреса вымышленные? Ну да для наглядности так сказать ARCHANGEL пишет: А так - либо в секциях править атрибуты доступа Можно это програмно сделать? ARCHANGEL пишет: либо VirtualProtect юзать. Можно подробнее ?
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 10 сентября 2011 08:16 · Личное сообщение · #5 tekton --> VirtualProtect <-- ----- Yann Tiersen best and do not fuck \| Сообщение посчитали полезным: tekton
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 10 сентября 2011 08:19 · Личное сообщение · #6 ARCHANGEL > Кидает, видимо, на KiUserExceptionDispatcher Оно есчо кудато может кидать ? > либо VirtualProtect юзать. > Можно подробнее ? Мб попробовать гугл ?
tekton Ранг: 10.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 10 сентября 2011 11:49 · Поправил: tekton · Личное сообщение · #7 ARCHANGEL & PE_Kill Спасибо Буду разбираться
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 10 сентября 2011 12:45 · Личное сообщение · #8 bowrouco О, вам ли не знать, что кидать может куда угодно, достаточно только адрес этого CALLBACK'а в ядре исправить ----- Stuck to the plan, always think that we would stand up, never ran.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 10 сентября 2011 16:17 · Личное сообщение · #9 ARCHANGEL Мы рады что вам известно как называется этот колбек
VodoleY Ранг: 488.1 (мудрец), 272thx Активность: 0.35↘0 Статус: Участник	Создано: 10 сентября 2011 16:41 · Личное сообщение · #10 походу тема превратилась в очередную свалку. есть 3 способа под вин хп сделать метаполиморфный код =(самомодификацию . расшифровка по ходу выполнения и т.д) сегмент кода по дефолту ток для чтения поэтому 3 варинта. либо выболнять код в стэке(вроде как закрыто начиная с висты) либо переназначения прав сегменту памяти на предмет разрешения записи в него, либо исполнение кода в мапед файле. Резуме. Если вы хотите исполнить код, думайте чЁ делаете. ----- Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 10 сентября 2011 17:05 · Поправил: bowrouco · Личное сообщение · #11 VodoleY > сегмент кода по дефолту ток для чтения Он для чтения и исполнения. Доступ к странице определяется не только дескриптором сегмента, он описан также в PTE. Посему если страница ридонли, то попытка записи через Ds(R/W) приведёт к фолту. > переназначения прав сегменту памяти Нельзя изменять дескрипторы в GDT. Если нужен другой дескриптор, то придётся LDT юзать, но зачем ? Вероятно вы путаете регион памяти с сегментом(сегмент описывается дескриптором сегмента). > либо исполнение кода в мапед файле. Бред какойто. Нужно разрешить запись в страницу, это NtProtectVM. Исполнять можно код по любому адресу в кодовом сегменте, если PAE выключен, либо управлять NX. У меня например код на стеке исполняется без проблем, а константа PAGE_EXECUTE не поддерживается(PAE не робит).
tekton Ранг: 10.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 10 сентября 2011 18:10 · Личное сообщение · #12 Спасибо всем за наставление на путь истинный Нашёл пример использования VirtualProtect буду пробовать через него справиться с задачей.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 11 сентября 2011 00:18 · Личное сообщение · #13 tekton Не благодарите, это одна из базовых апи для работы с памятью. Инде хочет слышать мнение ARCHANGEL'а.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 11 сентября 2011 01:08 · Личное сообщение · #14 bowrouco Да тут уже, в общем-то, всё сказано. Если вас интересует, что я думаю по поводу вашего комментирования утверждений VodoleY, то давайте по-порядку: > сегмент кода по дефолту ток для чтения Он для чтения и исполнения. Доступ к странице определяется не только дескриптором сегмента, он описан также в PTE. Посему если страница ридонли, то попытка записи через Ds(R/W) приведёт к фолту. Хоглунд и Батлер в своей книге "Руткиты. Внедрение в ядро Windows" начиная со с.62 в разделе Детали проверки доступа к памяти подверждают мнение bowrouco. В любом случае, это нетрудно проверить, проведя аналогичный опыт. > переназначения прав сегменту памяти Нельзя изменять дескрипторы в GDT. Если нужен другой дескриптор, то придётся LDT юзать, но зачем ? Вероятно вы путаете регион памяти с сегментом(сегмент описывается дескриптором сегмента). Вероятно, имеется в виду, что нельзя менять из ринг 3, но это уже мелкие придирки Другой дескриптор действительно можно заюзать через LDT --> Proof <-- > либо исполнение кода в мапед файле. Бред какойто. Нужно разрешить запись в страницу, это NtProtectVM. Исполнять можно код по любому адресу в кодовом сегменте, если PAE выключен, либо управлять NX. У меня например код на стеке исполняется без проблем, а константа PAGE_EXECUTE не поддерживается(PAE не робит). Метод творческий, но не нов с точки зрения выделить участок с правами на чтение+запись (ZwProtectVirtualMemory (NtProtectVM сокращенно)) и выполнять код там. Ибо если этого не сделать, то тогда вам придётся на диске создать файл с кодом, который вы хотите выполнить, потом его промеппировать и выполнять. Должно работать, но как-то это не красиво, да и не очень оптимально. У меня например код на стеке исполняется без проблем У меня тоже, т.к. выключен DEP. А если его включить, то управлять NX вообще отдельная тема, ведь он задумывался как несбрасываемый в случае установки. Правда, PAE включен. ----- Stuck to the plan, always think that we would stand up, never ran. \| Сообщение посчитали полезным: bowrouco
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 11 сентября 2011 10:46 · Поправил: bowrouco · Личное сообщение · #15 ARCHANGEL > придётся на диске создать файл с кодом, который вы хотите выполнить, потом его промеппировать и выполнять. Можно выделить память под это дело(NtAlloc* или NtMap, секция не обязательно должна быть файловой). > Proof Code: CreateDescriptor proc* Base:PVOID, Limit:ULONG, Type:ULONG ; T3-1(0010B: R/W-A etc). mov eax,Base mov edx,Limit mov ecx,eax and edx,0F0000H shr eax,16 and ecx,0FF000000H and eax,0FFH shl Type,8 lea edx,[eax + edx + 100H * 11110000B + 100000H * 1100B] or edx,ecx mov eax,Limit mov ecx,Base and eax,0FFFFH shl ecx,16 or edx,Type lea ecx,[ecx + eax] ; Edx:Ecx ret CreateDescriptor endp
VodoleY Ранг: 488.1 (мудрец), 272thx Активность: 0.35↘0 Статус: Участник	Создано: 11 сентября 2011 11:26 · Личное сообщение · #16 bowrouco bowrouco пишет: > либо исполнение кода в мапед файле.Бред какойто. вы бы уважаемый перечитали свой да и мой пост еще раз. Я описал ВСЕ возможные честные способы модификации кода. 1. сегмент стека имеет права риад врайт поэтому можно туда код засунуть 2.VirtualProtect ктом поменять в сегменте режим доступа к нему 3. а мапед файл это как вариант. никто не заставляет блокнот мапировать ----- Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 11 сентября 2011 11:35 · Поправил: bowrouco · Личное сообщение · #17 VodoleY 1. Регион памяти занятый стеком имеет тип доступа R/W. Поэтому можно туда писать и читать. Сегмент тут совершенно не причём. Например Ss:[0] не выделена, туда нельзя выполнять доступ, хотя сегмент весь до конца юзерспейса R/W(для дескриптора, селектор которого в Ss). Это плоская модель памяти уважаемый. 2. Изменяются атрибуты страниц, например взводятся биты в PTE. Сегмент описан в дескрипторе, он не изменяется. 3. В кодосекции проекции нельзя писать. А при включенном NX(DEP) в секциях данных нельзя код исполнять. Так что не понятно причём тут проекции. Маппинг это один из способов аллокации памяти. Нашёл интересны пруфкод: Code: SIGNATURE_LENGTH equ 44H Local BaseOfCode:PVOID, SizeOfCode:ULONG assume fs:nothing mov eax,fs:[TEB.Peb] mov eax,PEB.Ldr[eax] mov eax,PEB_LDR_DATA.InLoadOrderModuleList.Flink[eax] mov eax,LDR_DATA_TABLE_ENTRY.InLoadOrderModuleList.Flink[eax] mov ebx,LDR_DATA_TABLE_ENTRY.DllBase[eax] ; ntdll.dll mov ecx,ebx add ecx,IMAGE_DOS_HEADER.e_lfanew[ecx] assume ecx:PIMAGE_NT_HEADERS mov esi,[ecx].OptionalHeader.BaseOfCode mov edi,[ecx].OptionalHeader.SizeOfCode lea esi,[esi + ebx - 4] cld mov SizeOfCode,edi mov BaseOfCode,esi sub edi,SIGNATURE_LENGTH Step: mov ecx,SIGNATURE_LENGTH/4 xor eax,eax @@: xor eax,dword ptr [esi + ecx4] xor* eax,ecx rol eax,cl loop @b cmp eax,60EC54DCH je Found inc esi dec edi jnz Step int 3 Found: mov ecx,SizeOfCode lea eax,[esi + 4] mov edx,BaseOfCode sub ecx,24H Scan: cmp dword ptr [ecx + edx + 24H],eax je @f loop Scan int 3 @@: lea esi,[ecx + edx + 23H] cmp byte ptr [esi],68H jne Scan sub esi,20H mov ecx,20H @@: cmp word ptr [esi + ecx],0FF6AH je Vale loop @b int 3 Vale: cmp byte ptr [esi + ecx + 2],0E8H jne @b lea eax,[esi + ecx + 7] add eax,dword ptr [eax - 4] mov eax,dword ptr [eax + 1] ; ID ; push NtProtectVirtualMemory arg's. ; mov edx,esp ; Int 2EH ; add esp,5*4
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 11 сентября 2011 12:02 · Личное сообщение · #18 VodoleY Вы путаете термин сегмент и страница. --> Тут всё есть <-- Но это не упрёк. Ну, с кем не бывает. Я иногда и не так загоняю Изменяются атрибуты страниц, например взводятся биты в PTE. Сегмент описан в дескрипторе, он не изменяется. ИстЕна! ----- Stuck to the plan, always think that we would stand up, never ran.
vptrlx Ранг: 56.1 (постоянный), 9thx Активность: 0.04↘0 Статус: Участник	Создано: 11 сентября 2011 12:24 · Личное сообщение · #19 ого, сколько ужаса можно услышать о том, что вроде все знать должны. и даже не похоже, чтобы этот бред был написано просто назло клерку. чтобы пост не был оффтопом: tekton пишет: ARCHANGEL пишет:А так - либо в секциях править атрибуты доступа Можно это програмно сделать? в любом PE-редакторе: Sections -> в поле Characteristics секции кода ставишь галку "Writable"
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 12 сентября 2011 06:36 · Личное сообщение · #20 Что то простой вопрос новичка а-ля Как написать Hello world! превратился в помойку и снова уходит в ядро но теперь уже не только благодаря клерку, но и архангелу. Вам делать нефиг что ли? ----- Yann Tiersen best and do not fuck \| Сообщение посчитали полезным: hlmadip
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 13 сентября 2011 00:23 · Поправил: bowrouco · Личное сообщение · #21 PE_Kill Одного не пойму. Что обсуждение свелось к нэйтивным вопросам(системным, хардварным, серьёзным.. понимайте со своей точки зрения) это разве плохо ? Или вы сторонник скрипта и подобных идей, типо межплатформенной переносимости, где кроме прототипов апи ничего знать не нужно ? Такие взгляды не годные.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 13 сентября 2011 08:43 · Поправил: PE_Kill · Личное сообщение · #22 Если человек в "Вопросы новичков" спрашивает почему ключ на 10 не накидывается на гайку диаметром 14, то я не думаю, что ему будет интересно узнать, что любую гайку можно сорвать ядерным взрывом малой мощности и получить схему устройства и сборки такой бомбы. Есть же оффтоп, там можно обсуждать всё. ----- Yann Tiersen best and do not fuck
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 13 сентября 2011 18:48 · Личное сообщение · #23 PE_Kill Не так. Если аналогия с ключём - тс не знает что есть ключ на 14 и в какую сторону крутить. Что гайка не крутится изза резьбы он узнает только изучив архитектуру, тоесть ядро.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 13 сентября 2011 20:59 · Поправил: PE_Kill · Личное сообщение · #24 Я не знаю ядро и не хочу знать. Но при этом писал упаковщик исполняемых файлов, который работал и вин 98 и в вин 7. Мне повезло? ЗЫ. Кстати кроме смеха. Откручивать и закручивать гайки меня научили еще в 7 лет, но что такое резьба и как она работает я узнал несколько позже. Так что логика прослеживается. ----- Yann Tiersen best and do not fuck \| Сообщение посчитали полезным: hlmadip
VodoleY Ранг: 488.1 (мудрец), 272thx Активность: 0.35↘0 Статус: Участник	Создано: 13 сентября 2011 21:07 · Поправил: VodoleY · Личное сообщение · #25 PE_Kill вы правы топ превратился в очередной мусорник. каюсь подбросил свой пакетик. на предмет не правильно (нечетко) дал ответ. вместо что делать человеку обрисовал перспективы. видимо получать будем все (ввиде порче кармы, арчи постараеца ) З.Ы, но есть и положительные моменты. Знать досконально все нельзя. если человек решая конкретную задачу увидел ответвление от темы связанные с этой темой это не плохо. это и есть процесс обучения. Ц.Ы. чем больше знаешь тем больше понимаешь сколько много ты еще незнаешь ----- Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

Для печати