Почему не запускается ScyllaHide на Oracle VirtualBox

Сейчас на форуме: Lohmaty (+7 невидимых)

Посл.ответ	Сообщение
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 15 мая 2018 19:26 · Личное сообщение · #1 Добрый вечер. Пытаюсь запустить ScyllaHide (последняя) + X64DBG (последний релиз) под VM VirtualBox 5.2.10, пробовал Win 7 x32, Win 8 x32, Win 8 x64 - всегда одна и та же ошибка C0000005 после запуска самой программы под отладкой. Падает на пропатченных ScyllaHide функциях, например ZwQueryInformationProcess и т.д. В чем может быть проблема? На хосте работает хорошо. c40f_15.05.2018_EXELAB.rU.tgz - 1.jpg

SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 15 мая 2018 20:21 · Личное сообщение · #2 Illuzion пишет: В чем может быть проблема? в кривом хуке там проблема, и уже достаточно давно. \| Сообщение посчитали полезным: Illuzion
Illuzion Ранг: 9.1 (гость), 20thx Активность: 0.04↗0.08 Статус: Участник	Создано: 15 мая 2018 22:12 · Поправил: Illuzion · Личное сообщение · #3 SReg пишет: в кривом хуке там проблема, и уже достаточно давно. Спасибо. Решил, все работает, запатчил jmp short -> jmp long to Scylla А есть ли готовое решение/патч? И еще вопрос. Не получилось в KUSER_SHARED_DATA напрямую запатчить адрес, это возможно из usermode? P.S. скрин патча в приложении. c010_15.05.2018_EXELAB.rU.tgz - Screenshot_1.jpg Добавлено спустя 2 часа 21 минуту Для Windows 7 Enterprise x86 SP1 у меня работает следующий патч: Code: log "X64DBG ScyllaHide hook resolver" log "KiFastSystemCall = {0}", KiFastSystemCall cmp "340F", 2:[KiFastSystemCall+2] jne error cmp "E990", 2:[KiFastSystemCall-5] jne error cmp "8D", 1:[KiFastSystemCall-0B] jne error log "Seems everything is OK, ready to patch" mov $VA, 4:[KiFastSystemCall-3] add $VA, 7 fill (KiFastSystemCall-0B), 90, 0D mov 2:[KiFastSystemCall], "F3EB" mov 1:[KiFastSystemCall-0B], "E9" mov [KiFastSystemCall-0A], $VA ret error: log "ERROR: patch bytes don't match!" ret
difexacaw Ранг: 337.5 (мудрец), 348thx Активность: 2.11↗2.42 Статус: Участник	Создано: 16 мая 2018 18:11 · Личное сообщение · #4 Illuzion > Не получилось в KUSER_SHARED_DATA напрямую запатчить адрес, это возможно из usermode? Это область не доступна для прямой(это значит что выполняя адресную трансляцию(vm) вы можите любые данные подставить, хоть для процессора не будет выборки, но результат будет темже) записи из юм. ----- vx
Gauri Ранг: 35.3 (посетитель) Активность: 0.01=0.01 Статус: Участник	Создано: 14 ноября 2018 12:30 · Личное сообщение · #5 Можно поподробнее про причину ошибок и патчи? У меня на MOVSB исключение C0000005 вылезает, не понимаю, какой JMP править надо. 8a3c_14.11.2018_EXELAB.rU.tgz - c005.PNG
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 14 ноября 2018 12:55 · Личное сообщение · #6 Gauri См. код Illuzion в сообщении --> #3 <-- Он сначала заполняет код нопами (nop), а потом вбивает два jmp: - сначала короткий (2 байта: EB F3) в KiFastSystemCall - вверх по коду (по меньшим адресам), чтобы туда вляпать длинный jmp; - потом длинный jmp (5 байт: E9 46ACCF88): jmp 1E17F0 Но на твоей системе адреса могут отличаться, поэтому у тебя и вылезает ошибка. ----- EnJoy!
sendersu Ранг: 512.7 (!), 360thx Активность: 0.27↘0.03 Статус: Модератор	Создано: 15 ноября 2018 12:30 · Личное сообщение · #7 Gauri создайте багу в гитхабе сабжа там толком глянут

Для печати