SFC. - eXeL@B

Сейчас на форуме: UniSoft, bartolomeo (+6 невидимых)

Посл.ответ	Сообщение
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 31 декабря 2010 18:27 · Поправил: Clerk · Личное сообщение · #1 Здрасте. Допустим получаем мы управление при вызове какого либо кода. При этом получаем адрес возврата или выполняем бактрейс и находим наш скрытый от всех код. Чтоб не позволить это делаем инвалидным адрес возврата и в Ebp загружаем маркер конца цепочки. Тогда детектор не получит так просто адрес на который произойдёт возврат, например: Code: TLS struct rEbx DWORD ? rEdi DWORD ? rEbp DWORD ? Caller PVOID ? TLS ends PTLS typedef ptr TLS .data Tls TLS <> ApiPreStub PVOID ? .code PbPostProcessInitRoutine equ 14CH EXCEPTION_CHAIN_END equ -1 ; Eax: @Api assume fs:nothing ApiCallStub:: pop Tls.Caller mov Tls.rEbx,ebx mov Tls.rEdi,edi mov Tls.rEbp,ebp mov ebx,dword ptr fs:[TEB.Peb] mov ecx,ApiPreStub xor edi,edi mov ebp,EXCEPTION_CHAIN_END mov dword ptr [ebx + PbPostProcessInitRoutine],offset ApiPostStub push ApiPreStub jmp eax ApiPostStub:: add esp,4 mov ebx,Tls.rEbx mov edi,Tls.rEdi mov ebp,Tls.rEbp jmp Tls.Caller %APICALL macro pApi mov eax,pApi Call ApiCallStub endm $Msg CHAR "Test",0 $Dll CHAR "psapi.dll",0 _imp__DbgPrint proto C :DWORD, :VARARG _imp__LdrSetDllManifestProber proto :PVOID _imp__LoadLibraryA proto :PSTR LdrpManifestProberRoutine proc DllBase:PVOID, FullDllPath:PCWSTR, ActivationContext:PVOID Int 3 xor eax,eax ret LdrpManifestProberRoutine endp Entry proc mov eax,fs:[TEB.Peb] mov eax,PEB.Ldr[eax] mov eax,PEB_LDR_DATA.InLoadOrderModuleList.Flink[eax] mov eax,LDR_DATA_TABLE_ENTRY.InLoadOrderModuleList.Flink[eax] mov ebx,LDR_DATA_TABLE_ENTRY.DllBase[eax] ; ntdll.dll mov eax,IMAGE_DOS_HEADER.e_lfanew[ebx] mov ecx,IMAGE_NT_HEADERS.OptionalHeader.SizeOfCode[ebx + eax] add ebx,IMAGE_NT_HEADERS.OptionalHeader.BaseOfCode[ebx + eax] sub ecx,6 Scan: cmp word ptr [ebx],9B8BH je @f inc ebx loop Scan Int 3 @@: cmp dword ptr [ebx + 2],PbPostProcessInitRoutine jne Scan mov ApiPreStub,ebx push offset LdrpManifestProberRoutine %APICALL dword ptr [_imp__LdrSetDllManifestProber] push offset $Dll %APICALL dword ptr [_imp__LoadLibraryA] ret Entry endp Вопрос: каким образом можно обнаружить вызывающий код. \| Сообщение посчитали полезным: mak

crypto Ранг: 188.1 (ветеран), 419thx Активность: 0.14↘0 Статус: Участник	Создано: 01 января 2011 02:18 · Личное сообщение · #2 Clerk СНГ! Кстати, я тут ковыряю последнюю (по версии) Звездную Силу, есть идеи, реализованные в виде утилиты, но есть и вопросы, которые мешают продвижению. Можешь на них ответить?
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 02:31 · Личное сообщение · #3 crypto Постараюсь ответить, если вы ответите на мой ^
Smon Ранг: 500.5 (!), 8thx Активность: 0.23↘0 Статус: Участник	Создано: 01 января 2011 02:39 · Личное сообщение · #4 Ну если по стеку никак, то может хучить и анализить возможные функи? ----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels
crypto Ранг: 188.1 (ветеран), 419thx Активность: 0.14↘0 Статус: Участник	Создано: 01 января 2011 02:47 · Личное сообщение · #5 Clerk У тебя вопрос слишком сложный
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 01 января 2011 09:42 · Личное сообщение · #6 Цель непонятна. Если мы можем увидеть инициализацию, то легко найдем вызывающий код. Считаем ApiPostStub из PbPostProcessInitRoutine, ну а там найдем Tls.Caller. Если мы не можем видеть инициализацию, то и такие извращения не нужны, можно тем же SEH'ом спрятать. ----- Yann Tiersen best and do not fuck
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 12:05 · Поправил: Clerk · Личное сообщение · #7 PE_Kill Например перехватили вы функу LoadLibrary() и отслеживаете вызовы из не системных модулей с целью обнаружения постороннего кода в системе, так все детекторы руткитов поступают. Тока мониторят более глубокие ядерные апи. Вот нужно не дать возможность обнаружить вызов. Стаб не известен, он любым может быть. Или более простой пример - ковыряете вы какую либо софтину и сморите колстек когда сработает брейк, это присекается таким образом, дабы сделать видимость системного вызова.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 01 января 2011 12:17 · Личное сообщение · #8 Clerk Ты не поверишь, но ты сам ответил на свой вопрос в первом же предложении последнего поста. Причем решение будет рабочим. Продолжай изобретать велосипеды и с новым годом
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 12:19 · Поправил: Clerk · Личное сообщение · #9 Alchemistry Что же я ответил ? Если вы имеете ввиду "глубокие ядерные", то это ничего не меняет. Просто нет смысла приводить вам какието ядерные примеры, если вы даже в юзермоде не можите разобраться. Тут смысл имеет сама концепция вызова апи через системные стабы, что за апи и где она находится совершенно не имеет значения.
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 18:54 · Личное сообщение · #10 Чтож вы ёпта за кодеры такие, как что не спрошу более менее серьёзное никто не знает. Как вобще софт ковыряете, или тока мб примитивный.. ппц
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 01 января 2011 19:27 · Личное сообщение · #11 потому что твой вопрос в большей степени к 1) аверам, и их детекторам 2) пакерам 3) вирусописателям ты надеешься что они выйдут на паблик и начнут с тобой дискутировать?)) в остальных случаях такой код разбирается в ручную, и потом уже выясняется что где и как, и куда ставить какие бряки
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 19:33 · Личное сообщение · #12 reversecode А раз вы не авер и вирмейкер, то не способны к логическому анализу ? Всё ясно.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 01 января 2011 20:01 · Личное сообщение · #13 У тебя ЧСВ зашкаливает, если считаешь местных дураками, зачем сюда ходишь? К слову сказать, если не отвечают, это не значит, что сказать нечего. К примеру, ГС серии вполне себе нормально трассируются самописными движками без дебаг апи. Что касается бактрейса, в общем случае бактрейс нельзя сделать корректно, и с этим ничего не сделать.
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 20:14 · Поправил: Clerk · Личное сообщение · #14 Archer У меня чсв не зашкаливает. И дебилами я вас не считаю, иначе не писал ничо. Если вас не устраивают нормальные технические вопросы, то мне даже ответить нечего . С этим вопросом должен был сталкиваться любой, кто хоть раз стек пощупал Впрочем ваше решение по сути бесполезно, думаю вы понимаете. Защиту обеих цепочек я описал в своём блоге, так что можите тему закрыть и идти медитировать.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 01 января 2011 20:18 · Личное сообщение · #15 Clerk Помоему ты слишком бурно отметил Новый Год В обыденной жизни нечто подобное встречается когда идет передача на OEP из пакера/протектора, однако там все стандартно: JMP EAX, PUSH EAX-RET, JMP DWORD PTR DS:[EAX]. Применительно к твоему случаю... можно попробовать EBP восстановить, зная ESP и перебрав стек.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 01 января 2011 20:19 · Личное сообщение · #16 Clerk Гм, ну раз не понял - твои проблемы. Смысл какой в создании всех этих топиков для тешанья своего чсв? Тебе что за это деньги платят что-ле? ps на дворе 1 января. А ты сидишь дома и маешься какой-то хуйней. Забухай ёпт!
Clerk Ранг: 255.8 (наставник), 19thx Активность: 0.15↘0.01 Статус: Участник vx	Создано: 01 января 2011 20:20 · Поправил: Clerk · Личное сообщение · #17 ELF_7719116 Да. Стек восстанавливает олли. Для обхода этого используем шифрование ссылок и стаб для сех, тоесть их три - стаб для возврата(SFC) и два для сех, это непосредственно сех и стаб для безопасного места. Все свободны. Alchemistry Учить матчасть овощ!

Для печати