в продолжение http://exelab.ru/f/action=vthread&forum=5&topic=20118&page=-1#15
но решил, что тема немножко отличается, поэтому создал новую тему.

Имеется прога, которая создает процесс из victim.exe, после чего инжектит туда свой код. Victim.exe изначально грузится в 400000, а инжект осуществляется в пространство 80000. Инжектированный код, создает секцию в 380000, распаковывает туда другой код, загружает нужные DLL, заполняет таблицы с адресами нужных API, но PE заголовка не создает. Точку входа я определил, примерный адрес таблицы импорта тоже.

Каким образом можно сдампить такой образ, чтобы получился рабочий *.exe для анализа в IDA?

| Сообщение посчитали полезным:

"dump region" и соединить полученные

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

Т.е нужно будет вручную прикреплять заголовок тоже созданный вручную?

| Сообщение посчитали полезным:

либо он будет в регионе, либо ручками создавать. наугад, 100% не сказать

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

В регионе его точно не будет, т.к. в этой области памяти его не было.

Я думал есть автоматические утилиты: указал регион, указал OEP, адрес таблиц, -> на тебе свеженький PE header )))

| Сообщение посчитали полезным:

попробуйте дампить через RKU, он вроде автоматом фиксит заголовок после дампа (но могу и ошибаться)

| Сообщение посчитали полезным:

toxakgd пишет:
В регионе его точно не будет, т.к. в этой области памяти его не было
в предыдущем от кода мб, а может и не быть
toxakgd пишет:
думал есть автоматические утилиты
куда проще: copy /b 1+2+3 отменили? бредотопик очередной. за этот час можно было свой дампер накатать уже

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

toxakgd пишет:
Имеется прога, которая создает процесс из victim.exe, после чего инжектит туда свой код. Victim.exe изначально грузится в 400000, а инжект осуществляется в пространство 80000. Инжектированный код, создает секцию в 380000, распаковывает туда другой код, загружает нужные DLL, заполняет таблицы с адресами нужных API, но PE заголовка не создает.

Вы похоже малварь реверсите, так работают крипторы: стаб криптора не содержит заголовка и все нужные адреса апи вычисляет на ходу. Потрейсите дальше, если не нужен стаб, то дальше будет оригинальная тушка.

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

ajax пишет:
куда проще: copy /b 1+2+3 отменили? бредотопик очередной. за этот час можно было свой дампер накатать уже
Спасибо за помощь. Вам наверно в основном форуме поинтересней будет. За этот час я занимался другими делами, не связанными с RE

| Сообщение посчитали полезным:

Flint пишет:
Вы похоже малварь реверсите, так работают крипторы: стаб криптора не содержит заголовка и все нужные адреса апи вычисляет на ходу. Потрейсите дальше, если не нужен стаб, то дальше будет оригинальная тушка.
Именно. Стаб действительно не содержит изначально адресов, мало того он базонезависим. Стаб создает всего одну секцию и туда загоняет код, определяя адреса функций по имени, заполняет структуру похожую на таблицу импорта, но заголовка PE не создает. После заполнения таблицы импорта просто передает управление в созданную секцию 380000. PE заголовок остается от старой проги Victim.exe, но он нафиг не нужен...

| Сообщение посчитали полезным:

Я так понимаю, во время выполнения PE заголовок вообще программам не нужен. Он нужен для правильного отображения exe в память, импортирования функций и тд при старте программы. Также он нужен когда дампиш программу для правильного размещения секций и структур в файл.

Я ничего не перепутал?

| Сообщение посчитали полезным:

Выложите файл

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

PE заголовок нужен системе для отоброжения файла в память,зная структуру PE формата можно самому проецировать файлы в память без РЕ хидера.
toxakgd пишет:
во время выполнения PE заголовок вообще программам не нужен
Всё зависит от компилятора ну и самого написаного кода,в большинстве случаев файл будет выдовать ошибку исполнения.
toxakgd пишет:
Также он нужен когда дампиш программу
Он нафиг ненужен,берёшь WinHex дампишь регион,правишь РЕ хидер или пишешь новый и вуоля файло готов к работе.
toxakgd пишет:
для правильного размещения секций
Вообще можно из 10 секций сделать одну,или с одной секции штук 30 дело вкуса

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным: toxakgd

Всем спасибо, ручками в WinHex'е прикрутил PE заголовок. Все заработало

| Сообщение посчитали полезным: