Так, в общем Target Process: hello_box.exe (пустышка)
Язык: C++
Ловим ProcessHandle, выделяем память, пихаем в нее функцию c++, описанную выше. Пример:




К Hello_box приатачен x32dbg, по карте памяти - функция верно ложится в память, но кода открываю поток на это - ловлю EXCEPTION#5 - ACCESS VIOLATION

Причем на операции еще до существенного тела функции:



Что я делаю не так ? Если я делаю просто Объявление переменных в функции как C++, без Inline ASM / просто inline ASM - все ровно без ошибок. Как только я начинаю использовать функции c++ внутри инжектируемой функции / обращаться к переменным объявленных в c++, из inline asm - ловлю эту ошибку. В чем может быть ошибка ?

Добавлено спустя 47 минут
Решено, int x -> DWORD x, все ок.
Но до сих пор не понимаю, как использовать c++ функции тут.

Добавлено спустя 57 минут
Когда я говорю про функции c++, элементарный MessageBoxA

| Сообщение посчитали полезным:

wcy97484

> Ловим ProcessHandle

Если бы ты ловил ссылку на описатель, то закрыл бы его, включил трассировку описателей и ловил бы #INVALID_HANDLE. А так у тебя обычный косяк(дереференс инвалид указателя) из за не валид аргументов.

-----
vx

| Сообщение посчитали полезным:

Не, чето я совсем запутался. Ребят, пытаюсь рядомлежащую функцию c++ инжектировать в target process.
Скажите мне пожалуйста, как лаконично:
1. Использовать функции c++ в этой функции, чтобы они отрабатывали в целевом процессе
2. Декларировать переменные в c++, и использовать их в Inline asm. Конкретно интересуют типы, int/DWORD/CHAR/BYTE/CHAR */BYTE *

Добавлено спустя 1 минуту
difexacaw, у меня ошибка #5 не в инжектирующем приложении, а в целевом(target) приложении.

Добавлено спустя 3 минуты
difexacaw, то есть есть просто сделать в этой функции __asm { mov eax, ebx; mov ebx, ecx; mov ecx, edx;} ( как сэмпл), и глянуть в pointer, который был определен VirtualAllocEx все записано верно, и исполняется. Но если делать не сэмпл код а пытаться делать что я описал выше(тоже собственно не сложные операции), возникает эта ошибка.

| Сообщение посчитали полезным:

wcy97484

Даже если ты корректно впрыснешь свой код, то всё равно это приведёт к ошибке памяти, так как компилер тянет за собой ртл, которого нет в жертве. Там будут обращения в чужом ап по не существующим адресам. Это ведь скрипт.

-----
vx

| Сообщение посчитали полезным:

wcy97484 пишет:
Когда я говорю про функции c++, элементарный MessageBoxA
искать адреса динамически, т.е. писать в шеллкод стиле.
Ищите на гитхабе или еще где примеры, миллион раз эти инжекты были описаны.
з.ы. мессаджебокс это винапи, причем тут С++, я хз.

| Сообщение посчитали полезным:

morgot

Он не понимает что такое адресное пространство, для работы скрипта нужно локальное окружение, которого нет в другом АП. По этой причине инжект пишется на голом си или асм, но не на скрипте. Подгрузить всё окружение в принципе врядле возможно.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Подгрузить всё окружение в принципе врядле возможно.
Почему же? Визором посмотреть, что там рантайм навыделял после старта, и перенести все целиком (применив релоки)

| Сообщение посчитали полезным:

difexacaw, про локальное окружение понимаю, собственно вопрос в этом - можно ли как нибудь его подгрузить. Но ответ уже увидел - раз вряд ли - пойду смотреть в другую сторону. Благодарю!

| Сообщение посчитали полезным:

wcy97484 пишет:
Когда я говорю про функции c++, элементарный MessageBoxA
В каком таком стандарте С++ появился MessageBoxA?

| Сообщение посчитали полезным:

rmn

Загрузчик будет работать с иной средой, есть вещи которые нельзя локально перезапустить. По этой причине и нельзя сбросить загрузчик, он выполняет действия которые не могут быть локально повторены в том же процессе(нп соединение с csr и передача манифеста). Зачем эти трудности, пусть собирает нэйтивный код.

-----
vx

| Сообщение посчитали полезным:

wcy97484
Парень, это ты в соседней теме на стеке хранишь данные?

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

wcy97484 пишет:
Причем на операции еще до существенного тела функции
А как ты это проверяешь, что именно до? Как ты вычисляешь размер инжектируемой функции? Можно посмотреть дизасм этой функции полностью?

| Сообщение посчитали полезным:

ARCHANGEL, Да вроде нет, в куче храню ))
Ребят, вопрос решен и закрыт, всем thx.

| Сообщение посчитали полезным:

wcy97484 пишет:
вопрос решен и закрыт
Ну дык напиши как решил, в чем была проблема. Вдруг другие тоже столкнутся с подобным. Будь хорошим мальчиком))

| Сообщение посчитали полезным:

Ну собственно, среда не подгружена, как и догадывался, как и написали выше, можно бесконечно **аться с этим, но я решил грузить сторонний файл. Пробнул PE файл с указанием на Entry Point, но опять же этого недостаточно, потому что не зря PE файл есть PE файл, а не шеллкод, поэтому решение мое оказалось тривиальным - грузить DLL.

| Сообщение посчитали полезным: