Интересуют delphi исходники демонстрирующие установку и обработку memory breakpiont

Сейчас на форуме: 2nd, morgot, Rio, CDK123, zds, tyns777, tihiy_grom (+5 невидимых)

. 1 . 2 . >>

Посл.ответ	Сообщение
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 24 марта 2009 17:51 · Личное сообщение · #1 Простите за ламерский вопрос, честно скажу гуглил мало на эту тему, но может быть кто-то поделится исходником на дельфи устанавливающим и обрабатывающим мемори браяк. Планирую инжектить длл в которой и реализую обработку бряка. С инжектом трудности нет.

v0id2k Ранг: 221.3 (наставник), 135thx Активность: 0.19↘0.07 Статус: Участник	Создано: 24 марта 2009 18:15 · Личное сообщение · #2 Посмотри исходники анпакера для аспака от пеко. Там есть модуль отладчика, вот это то что тебе нужно ----- xchg dword [eax], eax
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 24 марта 2009 18:44 · Личное сообщение · #3 v0id2k пишет: Посмотри исходники анпакера для аспака от пеко. Там есть модуль отладчика, вот это то что тебе нужно А есть ссылочка на них? Гуглю, но не нахожу...
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 24 марта 2009 18:48 · Поправил: Hellspawn · Личное сообщение · #4 в чём сложность??? Code: function TDebugger.SetBPM(dwAddress,dwSize,dwNum:dword):boolean; var dwOld,dwFlag:dword; begin result:=FALSE; If ((dwNum < 0) or (dwNum > 15)) then exit; BPM[dwNum].addr := dwAddress; BPM[dwNum].size := dwSize; dwFlag := PAGE_EXECUTE_READWRITE or PAGE_GUARD; result := VirtualProtectEx(pi.hProcess,POINTER(dwAddress),dwSize,dwFlag,dwOld); BPM[dwNum].oldp := dwOld; end; ... function TDebugger.DelBPM(dwNum:dword):boolean; var dwOld,dwFlag:dword; begin result:=FALSE; If ((dwNum >= 0) or (dwNum <= 15)) then begin result:=VirtualProtectEx(pi.hProcess,POINTER(BPM[dwNum].addr),BPM[dwNu m].size,dwFlag,BPM[dwNum].oldp); BPM[dwNum].addr:=0; BPM[dwNum].size:=0; BPM[dwNum].oldp:=0; end; end; ... function TDebugger.MyBPM(const dwAdress:DWORD): integer; var i:integer; begin Result:=-1; For i:=0 to 15 do If (BPM[i].addr >= dwAdress) and (BPM[i].addr <= dwAdress + BPM[i].size) then begin Result:=i; break; end; end; обрабатывай как хочешь SEH, VEH, ... ----- [nice coder and reverser]
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 24 марта 2009 20:24 · Личное сообщение · #5 Hellspawn спасибо за код! Я не очень силён в дельфи, TDebugger это что-то самописное или есть такой компонент?
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 24 марта 2009 20:25 · Личное сообщение · #6 ToBad самописное конечно может тогда стоит подучить сабж? ----- [nice coder and reverser]
v0id2k Ранг: 221.3 (наставник), 135thx Активность: 0.19↘0.07 Статус: Участник	Создано: 24 марта 2009 22:05 · Личное сообщение · #7 Хм... Если ты не силен в делфе, зачем тогда тебе пример именно на этом языке? Насчет анпакера, то поищи по форуму, выложил бы сам да нет возможности. ----- xchg dword [eax], eax
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 24 марта 2009 22:48 · Личное сообщение · #8 Ради бога, можно и без исходников - главное принцип, звучит он так: установка memory breakpoint есть назначение коду, на который хочешь поставить этот самый breakpoint, атрибутов PAGE_GUARD, когда программа обратиться к странице с такими атрибутами, получим исключение, его нужно обработать, чтоб снять этот breakpoint и продолжить выполнение кода жертвы, для этого мы должны либо подключиться к жертве в качестве отладчика, либо использовать VEH, но это уже менее универсально, ещё можно написать свой драйвер, который будет обрабатывать эти исключения, всё зависит от того, как далеко ты готов зайти ----- Stuck to the plan, always think that we would stand up, never ran.
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 24 марта 2009 22:50 · Личное сообщение · #9 Hellspawn пишет: может тогда стоит подучить сабж? Да, да... Вот хочу на конкретном примере. Надобность возникла. v0id2k пишет: Если ты не силен в делфе, зачем тогда тебе пример именно на этом языке? Не, ну что-то могу, просто углубляюсь в более сложное по мере надобности... А так вообще дельфи для меня оптимальный вариант. Посмотри исходники анпакера для аспака от пеко. Посмотрел и нашёл всё... Отстал я от жизни, не понял сразу кого ты так назвал, иначе нашёл бы раньше.
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 24 марта 2009 22:52 · Поправил: Clerk · Личное сообщение · #10 Установка.. да загрузи отладочные регистры и обработай исключение, в чём трабла ? Или ты про сторожевые страницы хз.. > можно написать свой драйвер, который будет обрабатывать эти исключения Вам товарищ тока драйвера писать
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 24 марта 2009 22:57 · Личное сообщение · #11 ARCHANGEL пишет: для этого мы должны либо подключиться к жертве в качестве отладчика Когда жертва подгружает мою длл, из этой длл я смогу так сделать? Драйвер писать не осилю, да и не вижу смысла в контексте моей задачи.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 25 марта 2009 12:49 · Поправил: ARCHANGEL · Личное сообщение · #12 Clerk пишет: Вам товарищ тока драйвера писать Ээх, это да, справедливо подколол, но я буду стараться ToBad Если жертва подгружает твою библиотеку, то так можно и не делать, достаточно VEH, нот.к. вехи ппашут, начиная с WinXp, то для более ранних версий ОС это не годится, а по этому вопросу советую почитать Рихтера, там, вроде бы, если мне не изменяет память (щас перед собой у менянету этой книженции) описываются такие извраты, как длл подключить в качестве отладчика, ещё можно установить финальный обработчик через SetUnhandledExceptionFilter, и, если происходит исключение, которое в нормальных условиях просто не могло произойти, т.е. программист не продумывал такую ситуацию,что страницы кода могут иметь такой атрибут, как PAGE_GUARD, то,вероятно, что его сехи могут такую ситуацию и не обработать, тогда управление получит твой обработчик, далее, из извратов, никто ведь не запрещает нам вмешиваться в процесс обработки исключений непосредственно перехватом в ntdll.dll из третьего кольца KiUserExceptionDispatcher. Но это уже действительно изврат))) ----- Stuck to the plan, always think that we would stand up, never ran.
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 26 марта 2009 05:36 · Поправил: Clerk · Личное сообщение · #13 > непосредственно перехватом в ntdll.dll из третьего кольца KiUserExceptionDispatcher. Но это уже действительно изврат Почемуже изврат ? Если только потому, что это жесткий перехват и обнаруживается например рку то наверно это нигде не имеет значения. Я считаю перехват ядерных калбэков в нтдлл самым эффективным. Более того, довольно часто возникает задача установить свой обработчик исключений в чужом процессе, из юзермода невозможно удалённо зарегистрировать VEH, так как указатель на обработчик шифруется ксором с значением, которое случайно и не может быть определено из другого процесса. А VEH это единственный механизм обработки исключений, который глобален в процессе(для всех потоков), именно он обрабатывается первым, после идёт обработка SEH, но она локальна для каждого потока. Так что к сожалению никак глобально первым исключение не обработать, кроме как выполнив жёсткий перехват(например Call RtlDispatchException). А обработка в конечном обработчике слишком не надёжна, исключение по доступу к сторожевой страницы является палевным, аналогично как трассировочное.
SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 26 марта 2009 09:53 · Личное сообщение · #14 RtlDispatchException не экспортируется к сожалению, хотя её можно найти чуть дальше KiUserExceptionDispatcher по опкоду call'а. если кто будет перехватывать KiUserExceptionDispatcher не забудьте что у этого stdcall callback'а нет адреса возврата) ----- Shalom ebanats!
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 27 марта 2009 05:07 · Поправил: ToBad · Личное сообщение · #15 Погуглил и нашёл пример: Смогу ли я так перехватывать и обрабатывать обращение к памяти? Code: function MyVectoredHandler(ExceptionInfo: PExceptionPointers): Longint; stdcall; begin ShowMessage('Перехвачено'); ExceptionInfo^.ContextRecord.Dr0 := 0; ExceptionInfo^.ContextRecord.Dr1 := 0; ExceptionInfo^.ContextRecord.Dr2 := 0; ExceptionInfo^.ContextRecord.Dr3 := 0; ExceptionInfo^.ContextRecord^.ContextFlags := CONTEXT_DEBUG_REGISTERS; SetThreadContext(GetCurrentThread, ExceptionInfo^.ContextRecord^); Result := EXCEPTION_CONTINUE_SEARCH; end; procedure TForm1.Button1Click(Sender: TObject); begin pHandler:= AddVectoredExceptionHandler(1, @MyVectoredHandler); if pHandler = nil then ShowMessage('Error: AddVectoredExceptionHandler'); end; procedure TForm1.Button3Click(Sender: TObject); begin try raise Exception.Create('MyException'); except Caption := 'Произошло исключение'; end; Caption := 'Выполнение продолжилось'; end;
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 27 марта 2009 05:58 · Поправил: Clerk · Личное сообщение · #16 ToBad Тебе нужно определить для себя что есть останов по доступу к памяти. В юзермоде варианты разные есть. > Использовать аппаратный останов, адрес определён в отладочных регистрах. Для потока максимум 4 точки останова можно задать, локален в потоке. Также существенным недостатком является адрес останова, который получает диспетчер исключений - по доступу к данным Eip будет указывать на следующую инструкцию, при исполнении инструкции по адресу останова Eip указывает на адрес инструкции, вызвавшей останов(который в DrX). > Использовать сторожевые страницы. Страница помечается атрибутом PAGE_GUARD, при обращении к ней этот атрибут снимается и генерируется исключение STATUS_GUARD_PAGE_VIOLATION. Недостаток заключается в рассинхронизации, тоесть первый поток обращается к сторожевой странице, она разлочивается(снимается атрибут PAGE_GUARD), этот поток входит в диспетчер исключений, в это время второй поток обратится к этой странице и исключение не произойдёт. Можно считать что этот механизм локален для потока. > Использовать исключение по доступу к не выделенной странице. Страница помечается как PAGE_NOACCESS, либо иной атрибут, в зависимости от типа доступа генерируется исключение STATUS_ACCESS_VIOLATION. Глобально в процессе. У каждого способа есть свои недостатки и преимущества.
SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 27 марта 2009 07:34 · Личное сообщение · #17 Clerk, какие недостатки у PAGE_NOACCESS? ----- Shalom ebanats!
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 27 марта 2009 07:49 · Личное сообщение · #18 SLV 1. Невозможность исполнения кода, который находится в тойже странице, за которой необходимо следить. 2. При каждом обращении к странице для исполнения инструкции после останова необходимо восстанавливать атрибуты страницы, после чего снова страница должна быть не доступной к примеру на запись. Тоесть необходимо выполнить трассировку инструкции. Трассировка будет обнаружена. 3. Скорость исполнения низкая.
SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 27 марта 2009 11:29 · Поправил: SLV · Личное сообщение · #19 Clerk, а есть идеи как тогда можно контролировать доступ к памяти без потери скорости и без потерь на многопоточности? если бы цель была поставить простой breakpoint без debug api было бы намного проще, обрабатывать ExceptionRecord->ExceptionCode на STATUS_BREAKPOINT, но это изменение памяти и сработает только при выполнении, т.е. другая задача. кроме хука KiUserExceptionDispatcher, можно хитро перехватить саму ZwRaiseException для контроля эксепшенов, с выходом из функции без вызова при необходимости ----- Shalom ebanats!
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 27 марта 2009 11:57 · Личное сообщение · #20 Clerk я не знаю как лучше и что именно мне подойдет. Задача написать логгер обращения к определенной ячейке. В принципе только это интересует. Буду запоминать предыдущее состояние ячейки, а при срабатывании писать в файл адрес из которого изменилось содержимое, старое и новое значение. Разумеется после этого должен продолжать нормальную работу жертвы. Знаю что доступ происходит не очень часто, так что скорость не важна, но возможно осуществляется из нескольких потоков и наверняка применяется косвенная адресация к ячейке которую и хочу отловить.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 27 марта 2009 12:58 · Личное сообщение · #21 ToBad Тогда лучше использовать аппаратные точки останова. ----- Stuck to the plan, always think that we would stand up, never ran.
daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 27 марта 2009 13:10 · Поправил: daFix · Личное сообщение · #22 ToBad Тогда наверное тебе будет легче через отладочные регистры работать. И удобнее и скорость работы быстрее ARCHANGEL Опередил)) ----- Research For Food
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 28 марта 2009 07:13 · Личное сообщение · #23 Если код читает/сбрасывает Dr-контекст то логгер работать не будет. Более того, если он сам использует 4 хардварные регистра, код под логгером работать не будет.
g-l-u-k Ранг: 138.1 (ветеран) Активность: 0.09↘0 Статус: Участник Одепт ЭкзэЛаба	Создано: 28 марта 2009 21:31 · Поправил: g-l-u-k · Личное сообщение · #24 в свое время нашел на ачате: Code: function breakpoint(dll:Thandle;addr:pointer):boolean; var buffer:byte; i: cardinal; begin result:=false; ReadProcessMemory(dll,addr,@buffer,1,i); if buffer=CC then result:=true; end; var usr32:thandle; begin usr32:=GetModuleHandle('user32.dll'); if breakPoint(usr32,GetProcAddress(usr32,'MessageBoxA ')) then MessageBoxA(0,'Breakpoint on MessageBoxA','DebuggerChecker',0) else MessageBox(0,'MessageBoxA is clear','DebuggerChecker',0) end.
BoRoV Ранг: 533.6 (!), 232thx Активность: 0.45↘0 Статус: Uploader retired	Создано: 28 марта 2009 21:54 · Личное сообщение · #25 это для простых, а не мемори бряков ----- Лучше быть одиноким, но свободным © $me
daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 28 марта 2009 22:22 · Личное сообщение · #26 g-l-u-k Это код, проверяющий наличие int 3 бряка в начале функции MessageBoxA ----- Research For Food
SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 30 марта 2009 15:42 · Личное сообщение · #27 > function breakpoint(dll:Thandle;addr:pointer):boolean; чё это за ересь, из пинча чтоли?) ----- Shalom ebanats!
ajax Ранг: 337.6 (мудрец), 224thx Активность: 0.21↘0.1 Статус: Участник born to be evil	Создано: 31 марта 2009 02:13 · Личное сообщение · #28 > Задача написать логгер обращения к определенной ячейке Если она одна/пара - лучше, на мой взгляд, отладочные регистры ----- От многой мудрости много скорби, и умножающий знание умножает печаль
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 31 марта 2009 11:40 · Личное сообщение · #29 ajax пишет: Если она одна/пара - лучше, на мой взгляд, отладочные регистры Да, уже понял. Буду так и пытаться. daFix подкинул массу инфы, потихоньку изучаю. Но если кто кинет готовым кодом на дельфи, буду только рад. g-l-u-k - к сожалению это не то.
BoRoV Ранг: 533.6 (!), 232thx Активность: 0.45↘0 Статус: Uploader retired	Создано: 31 марта 2009 12:06 · Личное сообщение · #30 А чем тебе ПЕ_Киловские сорсы не подходят? ----- Лучше быть одиноким, но свободным © $me

. 1 . 2 . >>

Для печати