Здравствуйте!
Я новичок в деле исследований, может кто сможет помочь...
Скажите, пожалуйста, как лучше найти хэндл известного файла, открытого в процессе(из контекста текущего процесса)?

| Сообщение посчитали полезным:

есть пример:
mov dword ptr [ebp-50h], 0 ; hFileDocument
SEARCH_MY_HANLDE_LOOP:
add dword ptr [ebp-50h], 4 ; hFileDocument
push 0
mov eax, [ebp-50h] ; hFileDocument
push eax
call dword ptr [esi+18h] ; GetFileSize
mov ecx, [ebp-48h] ; 24B87h (size of the dropped file)
add ecx, [ebp-4Ch] ; 10200 (offset of the dropped file)
cmp eax, ecx
jnz short SEARCH_MY_HANLDE_LOOP ; hFileDocument
вопрос: зачем смещаем ecx?

| Сообщение посчитали полезным:

Видимо, затем смещают, что размер файла=размеру дропаемой мути+оффсет(=размеру полезной нагрузки перед мутью). Можешь и этот кодес заюзать с брутом хендлов. А лучше скажи, зачем это всё нужно?
З.Ы. Пользуйся кнопкой "Правка", не создавай сообщения подряд.

| Сообщение посчитали полезным:

Archer, мы ведь выполняем GetFileSize, он результат кидает, как я понимаю в eax.
при неправильном формате хэндла - кидает 0xffffffff
а при положительном результате - размер файла

зная размер исходного файла делаем сравнение jnz, бъет - проходим дальше...
так а в коде - оффсет еще забит, который сбивает размер файла... это из статейки по шеллкодам взято, для ликбеза

я не пойму как из офисных файлов запускают приклеенные PE

| Сообщение посчитали полезным:

Оно и видно, что из шеллкода, потому и спрашиваю, зачем нужно искать хендл открытого файла?
Не подходит тебе добавление оффсета-не добавляй, захаркодь только размер, не обязательно списывать 1 в 1, если что. В данном случае под размером забит не размер файла, а размер дропаемой мути. А файл=нагрузка+муть, отсюда и смещение.

| Сообщение посчитали полезным:

Archer, а если из контекста ворда это делать, то прокатит?

если я буду двигаться вверх по стеку, то полюбому должен на хэндл наткнуться? а данном коде идем вниз...

| Сообщение посчитали полезным:

vladimir070707
Сформулируйте задачу конкретно! Почему нельзя CreateFile(ZwCreateFile) перехватить и выудить хендл??

| Сообщение посчитали полезным:

ELF_7719116, код выполняется в контексте процесса и я хочу понять как мне пустить PE, приклеенный к файлу, открытому в сломанном процессе
ищу хэндл
смещаюсь
читаю
пишу в файл
запускаю

на данный момент проблема в поиске хэндла

| Сообщение посчитали полезным:

Во-первых, никуда он по стеку не идёт, хотя бы разберись в этих 10 строчках, что они делают. А во-первых, сплоиты писать, как и вирусню, тут не особо поощряется.

| Сообщение посчитали полезным:

Archer, ок, понял. Только не баньте )

| Сообщение посчитали полезным:

> как лучше найти хэндл известного файла

А что про фаел известно, имя ?

Перечислить хэндлы и для каждого имя получить. NtQueryObject. Оминь.

| Сообщение посчитали полезным:

vladimir070707
Вот код на делфи, который ищет хэндл файла в своем процессе.
--> Link <--

| Сообщение посчитали полезным:

EnumHandles proto ObjectTypeName:PSTR, ObjectTypeNameLength:ULONG, ProcessId:HANDLE, Callback:PVOID, Context:PVOID

Возвращает NTSTATUS. Пример вызова:

Clbk proc uses ebx esi edi Handle:HANDLE, Context:PVOID
Local Buffer[MAX_PATH]:CHAR
invoke ZwQueryObject, Handle, ObjectNameInformation, addr Buffer, MAX_PATH, NULL
.if !Eax
invoke DbgPrint, addr $Msg, addr Buffer
.endif
mov eax,STATUS_NOT_FOUND ; STATUS_SUCCESS для прекращения енума.
ret
Clbk endp

$Ob CHAR "File"

invoke QueryObjectNameTypeNumber, addr $Ob, 4, fs:[TEB.Cid.UniqueProcess], addr Clbk, 123H

---
Вы же не скрипткидди, изучайте бинарь http://yadi.sk/d/dtKKD7up8EGcw

| Сообщение посчитали полезным:

vladimir070707

1) Перечислить описатели NtQuerySystemInformation, инфо класс 16
2) Выделить среди них те, что принадлежат искомому процессу по полю ProcessId, SYSTEM_HANDLE_TABLE_ENTRY_INFO структуры
3) Выделить среди них те, что имеют тип "File", можно по индексу (ObjectTypeNumber), можно по имени типа
4) Скопировать описатель себе через DuplicateHandle
5) Получить имя по описателю через GetFinalPathNameByHandle

Так или решение задачи потребует использование недокументированного API. Можете конечно набрутить описатель файла циклом и потом их сунуть в 4-5 пункты.

Dr0p

Очередной быдлокод с потенциальным дедлоком и привязкой к оси. Даже не думай возражать.

| Сообщение посчитали полезным:

Alchemistry

Какие есчо дедлоки умник. И к какой оси привязка не понятно

> Можете конечно набрутить описатель файла циклом и потом их сунуть в 4-5 пункты.

Он так и делает.

> GetFinalPathNameByHandle

Обломись ниже 6.0.

> недокументированного API.

Документировано в "NT Object Management Specification". Рекомендую на каникулах почитать

| Сообщение посчитали полезным:

Dr0pAlchemistryPhantom007Archer

Спасибо Вам огромное за помощь! Брут отлично работает, через GetFileSize.

| Сообщение посчитали полезным:

Раз решено, а частично переехало и в другой топик, то закрыто.
З.Ы. Для Спасиб тут отдельная кнопка есть под потом, Полезное сообщение зовётся.

| Сообщение посчитали полезным: