При подгрузке любой DLL отрабатывает странная процедура с означенными функциями, которая XOR-ит полученные значения и записывает 8 байт где-то в начало секции .data . Что это за 8-байтовое число? Для чего оно может применяться?

Судя по всему , это корявая попытка сгенерировать случайное число. Я прав?

| Сообщение посчитали полезным:

Да, это инициализация __security_cookie.

| Сообщение посчитали полезным: Dr0p

Это абсолютно бесполезный мусор от сишного компиля, под названием security_init_cookie

| Сообщение посчитали полезным: Dr0p

В исследуемой длл несколько раз встречается константа-адрес этого куки. То есть этот куки используется? Проблема в том , можно ли удалить из кода куски , которые используют этот куки. Мне нужно дописать свой код в длл , а в конец длл код не влазит. Поставил брейкпоинты на все обращения к куки, вроде при работе программы этот код не используется... Но не уверен, будут ли обращения к куки при последующей работе программы.

| Сообщение посчитали полезным:

Почитай хотя бы, что это такое, тогда и вопросы такие отпадут. Название уже дали.

| Сообщение посчитали полезным:

>>Почитай хотя бы, что это такое, тогда и вопросы такие отпадут. Название уже дали.

Почитал документ http://msdn.microsoft.com/en-us/library/aa290051(v=vs.71).aspx . Картина несколько прояснилась. Но всё же Ольга не показывает мне , есть ли ссылки из других мест на код например __security_check_cookie routine . То есть вполне возможно где-то в коде есть неявный вызов типа CALL EAX.
Как понять, можно ли вырезать __security_check_cookie routine?
В документе пишут ,что если какая-то функция использует Buffer Security Check , то она по-любому должна обратиться к security cookie . А тут уже неявно задать адрес трудно. Я таких обращений нашел пару штук, но в конце функций не видно вызова __security_check_cookie routine...

| Сообщение посчитали полезным:

Ну если действительно прочитал и разобрался, что это такое, то должно быть понятно, что там может лежать любое константное число, можешь забить тупо 0 или оставить то, что лежит изначально, и сэкономить место на инициализации. Но имей в виду, что на безопасность это дурно повлияет.

| Сообщение посчитали полезным: volopas

В тех местах, где были вызовы процедур , какая-то падла меняет введенный мною код. Видимо, пытается адреса поменять. Кроме того секция кода в ольге 1.1 начинается 02481000 , а в ольге 2.0 - 02471000 .

| Сообщение посчитали полезным:

ответ в четвертом слове твоего первого поста. т.е. DLL, а у длл чего самое главное??? правильно релоки.

| Сообщение посчитали полезным:

volopas пишет:
Мне нужно дописать свой код в длл , а в конец длл код не влазит.
Почему не прицепить новую секцию?

-----
zzz

| Сообщение посчитали полезным:

Очень странный топ.

| Сообщение посчитали полезным: