Подскажите новичку по перехвату Api функций

Сейчас на форуме: UniSoft, laslo, bartolomeo (+5 невидимых)

<< . 1 . 2 . 3 . >>

Посл.ответ	Сообщение
Freeon Ранг: 2.2 (гость) Активность: 0=0 Статус: Участник	Создано: 17 ноября 2011 17:16 · Личное сообщение · #1 Доброго времени суток. Разбираюсь с перехватом API функций через dll инъекцию. В сети нашел интересный пример и на нем сделал библиотечку которая подменяет нужные функции. В частности: GetDriveTypeA, GetVolumeInformationA, GetVersion, GetVersionExA Все они находятся в kernel32.dll, что усложняет задачку GetDriveTypeA и GetVersion удалось подменить выводы на нужные, а вот GetVolumeInformationA и GetVersionExA проблемы GetVolumeInformationA возвращает 0 (наверное потому что не знаю в какой регистр писать и в один ли ) А с GetVersionExA вообще труба каким образом и как там идет возврат. К сожалению приходится пользоватся почти наугад, завести на 64 битном 4 ядерном проце SoftIce не удалось а в виртуалке проблемы с видеодрайвером. Да и мешает еще одна проблема последний раз на асме писал лет 10 назад (уже с трудом что-то вспоминается). Прошу помощи подсказками: Каким софтом можно подсмотреть саму функцию kernel32 Советами по поводу вовратов от функции, примером или чем нибудь еще. В архиве программка мишень, библиотека, flat assembler и исходники всего. http://narod.ru/disk/31656508001/project.zip.html

Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 12:25 · Личное сообщение · #2 bowrouco пишет: Я не знаю что такое двач. Гм, ну bowrouco может и нет, а какой-нибудь из твоих 100500 клонов видимо да.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 12:30 · Личное сообщение · #3 Alchemistry Моя деограмка. Но на 2ch.so я никада не ходил. Есть немного форумов, которые я читаю и есчо меньше где я пишу. Двачей, вконтактов и прочей ереси в том списке нет.
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 19 ноября 2011 12:31 · Личное сообщение · #4 bowrouco Давай проще. ПЕКилл до мозга костей практик. На его счету несколько автораспоковщиков самых крутых протекторов, 5000 сломанных и закейгененых программ. Он РЕАЛЬНО делал все то, о чем пишет. Ты же теоретик, который на практике никогда не делал то, о чем пишешь и все твои теории навсегда останутся теориями. Кстати в шапке есть прога, можешь на ее примере показать нам "патч от Инде"? ----- StarForce и Themida ацтой!
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 12:37 · Поправил: bowrouco · Личное сообщение · #5 Maximus > Он РЕАЛЬНО делал все то, о чем пишет. Дык в том и проблема. Может он делал то о чём пишет гдето там, но то о чём он пишет тут он даже не понимает. Я ничего не кейгеню и не пишу что я это делал. > Ты же теоретик, который на практике никогда не делал то, о чем пишешь и все твои теории навсегда останутся теориями. Многие из моих теорий реализовано в коде. Многие не реализованы изза высокой сложности и большого количества нужных человекочасов для реализации. Но я стараюсь. > Кстати в шапке есть прога, можешь на ее примере показать нам "патч от Инде"? Для меня сама идея портить код отвратительна, так что мне предложить вам нечего. Вдобавок эта задача примитивна. Да и реализаций даже системных достаточно - вирификатор, хотпатчер всякие либы, от мс была какаято забыл как называется.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 12:45 · Поправил: Alchemistry · Личное сообщение · #6 bowrouco Я знаю PE_Kill по его программам, а тебя только по срачам на васме, который я иногда читаю. У тебя сейчас прекрасная возможность показать себя и свои техники на практике как и предложил Maximus. Возьми задачу из шапки и сделай. А потом объясни это ТС, так чтобы он понял. Сделаешь - респект. Опять начнешь генерить бред или свалишь из темы - шито поделать десу. Блджад Клерк, сколько же у тебя свободного времени. upd. Для меня сама идея портить код отвратительна, так что мне предложить вам нечего. Вдобавок эта задача примитивна. Да и реализаций даже системных достаточно - вирификатор, хотпатчер всякие либы, от мс была какаято забыл как называется. Ну все ясно, очередной слив.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 19 ноября 2011 13:00 · Личное сообщение · #7 Клерк на дваче, ох епт. Что вообще с ним разговаривать. Клерк - есть еще башорг, не пробовал туда ресечить? ----- Yann Tiersen best and do not fuck
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 13:04 · Личное сообщение · #8 Alchemistry Есть же LdrHotPatchRoutine() - готовый системный функционал, зачем велосипед изобретать. Вдобавок главное идея, потом алгоритм для её реализации, потом уже реализация в виде кода. Первое и второе тут никому не нужно, нужен готовый код. Алго то там как такового и нет - енумим потоки, проверяем что ни один из них не стоит на изменяемых инструкциях(чтобы на середине новой не оказался), если это так, то копируем код в буфер, пишем туда стаб и далее изменяем код. До тупого примитивно, что там реализовать, да и зачем мне это. Кстати давным давно, когда я был таким наивным и нубом как вы, я реализовал сие в виде либы. У меня есчо эти древние кодесы остались: Code: WaitForSplaysReady proc ProcessHandle:HANDLE, Loops:ULONG, SplaysAddress:PVOID, SplaysSize:ULONG Local LocalTimeout:LARGE_INTEGER Local CurrentFlag:BOOLEAN;, LastThread:BOOLEAN invoke IsCurrentProcessHandle, ProcessHandle, addr CurrentFlag test eax,eax jnz exit_ cmp CurrentFlag,eax mov eax,STATUS_INVALID_HANDLE jnz exit_ ;invoke ZwQueryInformationThread, NtCurrentThread, ThreadAmILastThread, addr LastThread, SizeOf BOOLEAN, NULL ;test eax,eax ;jnz exit_ ;cmp LastThread,eax ;mov eax,STATUS_INVALID_PARAMETER_1 ;jz exit_ valid_: invoke InitializeTimeout, 20, addr LocalTimeout loop_: invoke ZwSuspendProcess, ProcessHandle invoke IsSplaysReady, ProcessHandle, SplaysAddress, SplaysSize test eax,eax jz exit_ push eax invoke ZwResumeProcess, ProcessHandle pop eax cmp eax,STATUS_CONFLICTING_ADDRESSES jnz exit_ invoke ZwDelayExecution, FALSE, addr LocalTimeout dec Loops jnz loop_ mov eax,STATUS_TIMEOUT exit_: ret WaitForSplaysReady endp Code: NtSplaysFunction proc uses ebx esi edi SectionHandle:HANDLE, Function:PVOID, Handler:PVOID, CallbackBuffer:PVOID, CallbackBufferSize:PULONG, SavePoint:BOOLEAN, RestoreInformation:PULONG Local MapAddress:PVOID, MapSize:ULONG Local SystemInformation:SYSTEM_BASIC_INFORMATION Local DecodeInformation:DECODE_MACRO Local LocalCallbackBuffer[SPLAYS_MINIMUM_SIZE]:BYTE _setseh_ _IsSupportedCx8_ invoke ZwQuerySystemInformation, SystemBasicInformation, addr SystemInformation, SizeOf SYSTEM_BASIC_INFORMATION, NULL ;PAGE_SIZE test eax,eax mov edx,RestoreInformation mov ecx,CallbackBufferSize jnz exit_ mov dword ptr [edx],eax ;Test write mov dword ptr [edx+4],eax mov dword ptr [ecx],eax mov MapAddress,eax mov ebx,Function lea ecx,MapSize lea edx,MapAddress _VirtualToPhysicalEbx_ push PAGE_READWRITE dec SystemInformation.PhysicalPageSize push edx push ecx push ebx and ebx,SystemInformation.PhysicalPageSize ;Offset push SectionHandle lea eax,[ebx+4] push NtCurrentProcess mov MapSize,eax Call MapViewOfPhysicalMemorySection test eax,eax jnz exit_ _subsetseh_ add ebx,MapAddress ;Jump and Call -> chain handling cld mov eax,6 cmp byte ptr [ebx],OPCODE_JUMP lea edi,LocalCallbackBuffer mov ecx,Function mov edx,dword ptr [ebx+1] ;displacement lea edx,[edx + ecx + 5] je write_callback_ cmp byte ptr [ebx],OPCODE_CALL jne decode_ mov byte ptr [edi],OPCODE_PUSH lea ecx,[ecx + 5] mov dword ptr [edi+1],ecx lea edi,[edi+5] jmp write_callback_ ;Address_Jmp_E9=@+Disp+5 ;Disp=Address-@-5 decode_: invoke DecodeMacroSize, ebx, SIZEOF_JUMP, addr DecodeInformation test eax,eax cld jnz err_decode_ cmp DecodeInformation.IpFlag,eax ;IP_IGNORE mov eax,STATUS_DECRYPTION_FAILED jne err_decode_ mov edx,Function mov ecx,DecodeInformation._Length mov esi,ebx add edx,ecx mov eax,ecx rep movsb add eax,6 write_callback_: mov ecx,CallbackBufferSize mov byte ptr [edi],OPCODE_PUSH mov dword ptr [edi+1],edx mov byte ptr [edi+5],OPCODE_RET mov edx,CallbackBuffer mov dword ptr [ecx],eax _VirtualToPhysicalEdx_ invoke PhysicalMemoryOperation, SectionHandle, OPERATION_WRITE, edx, addr LocalCallbackBuffer, eax test eax,eax mov esi,ebx jnz err_decode_ xor edx,edx xor eax,eax xor ebx,ebx xor ecx,ecx mov edi,RestoreInformation lock cmpxchg8b qword ptr [Esi] ;Edx:Eax mov ebx,Handler sub ebx,Function sub ebx,5 mov ecx,ebx shl ebx,8 rol ecx,8 .if SavePoint==NULL or ebx,OPCODE_JUMP .else or ebx,OPCODE_CALL .endif and ecx,11111111b lock cmpxchg8b qword ptr [Esi] ;Edx:Eax mov dword ptr [edi],eax mov dword ptr [edi+4],edx ;[Mem64]==Edx:Eax [Mem64]<-Ecx:Ebx ;[Mem64]<>Edx:Eax Edx:Eax<-[Mem64] xor eax,eax err_decode_: _subendseh_ push eax invoke ZwUnmapViewOfSection, NtCurrentProcess, MapAddress pop eax exit_: _endseh_ ret NtSplaysFunction endp Code: PsBreakpointControlReady proc ProcessHandle:HANDLE, TestOrWaitReady:ULONG, Address:PVOID, BpValue:PCHAR Local ReturnLength:ULONG Local ReturnByte:BYTE _setseh_ lea eax,ReturnLength push eax xor eax,eax inc eax push eax lea eax,ReturnByte push eax push Address push ProcessHandle Call PsReadVirtualMemoryProtected .if !Eax lea eax,ReturnLength push eax xor eax,eax inc eax push eax push BpValue push Address push TestOrWaitReady push ProcessHandle Call PsWriteVirtualMemoryProtectedReady .if !Eax mov edx,BpValue mov cl,ReturnByte mov byte ptr [edx],cl .endif .endif _endseh_ ret PsBreakpointControlReady endp Code: PsWriteVirtualMemoryProtectedReady proc ProcessHandle:HANDLE, TestOrWaitReady:ULONG, BaseAddress:PVOID, Buffer:PVOID, BufferLength:ULONG, ReturnLength:PULONG Local Protect:ULONG, ProtectBaseAddress:PVOID, ProtectBufferLength:ULONG Local AffinityMask:ULONG _setseh_ mov AffinityMask,1 invoke SetProcessAffinityMaskEx, ProcessHandle, addr AffinityMask .if !Eax .if TestOrWaitReady==SPLAYS_READY_TEST invoke IsSplaysReady, ProcessHandle, BaseAddress, BufferLength .elseif TestOrWaitReady==SPLAYS_READY_WAIT invoke WaitForSplaysReady, ProcessHandle, 50, BaseAddress, BufferLength .endif mov eax,BaseAddress mov ProtectBaseAddress,eax mov eax,BufferLength mov ProtectBufferLength,eax invoke ZwProtectVirtualMemory, ProcessHandle, addr ProtectBaseAddress, addr ProtectBufferLength, PAGE_EXECUTE_READWRITE, addr Protect .if !Eax invoke ZwWriteVirtualMemory, ProcessHandle, BaseAddress, Buffer, BufferLength, ReturnLength push eax invoke ZwFlushInstructionCache, ProcessHandle, BaseAddress, BufferLength invoke ZwProtectVirtualMemory, ProcessHandle, addr ProtectBaseAddress, addr ProtectBufferLength, Protect, addr Protect pop eax .endif push eax invoke SetProcessAffinityMaskEx, ProcessHandle, addr AffinityMask pop eax .endif _endseh_ ret PsWriteVirtualMemoryProtectedReady endp Code: NtInstallCallGate proc uses ebx esi SectionHandle:HANDLE, Processor:ULONG, GateRoutine:PVOID, ResultSelector:PULONG Local MappingSize:ULONG, MappingAddress:PVOID Local SystemInformation:SYSTEM_BASIC_INFORMATION Local ProcessorGdt:GDTR_FIELD Local Status:NTSTATUS _setseh_ invoke ZwQuerySystemInformation, SystemBasicInformation, addr SystemInformation, SizeOf SYSTEM_BASIC_INFORMATION, NULL ;PAGE_SIZE test eax,eax jnz exit_ dec SystemInformation.PhysicalPageSize invoke ExecuteOnProcessor, Processor, addr QueryProcessorGdtCallback, addr Status, SystemInformation.PhysicalPageSize, addr ProcessorGdt test eax,eax mov esi,ResultSelector jnz exit_ mov eax,Status test eax,eax jnz exit_ mov dword ptr [esi],eax lea edx,MappingAddress push PAGE_READWRITE mov dword ptr [edx],eax lea ecx,MappingSize push edx push ecx push ProcessorGdt._Base and edx,SystemInformation.PhysicalPageSize ;Offset push SectionHandle lea eax,[edx+81928] push* NtCurrentProcess mov dword ptr [ecx],eax Call MapViewOfPhysicalMemorySection test eax,eax jnz exit_ mov ebx,MappingAddress _subsetseh_ movzx ecx,ProcessorGdt._Limit inc ecx add ebx,8 ;Искл. нулевой дескриптор shr ecx,3 ;Число дескрипторов assume ebx:PCALL_GATE_DESCRIPTOR ;Ищем первый свободный дескриптор search_: test [ebx].AccessRights,10000000b ;Bit P: Present jnz next_gate_ cmp [ebx].OffsetLo,ax jnz next_gate_ cmp [ebx].OffsetHi,ax jnz next_gate_ mov eax,GateRoutine movzx edx,ax or edx,10000000000000000000b ;(2^16)08h ;селектор and* eax,11111111111111110000000000000000b or eax,1110110000000000b lock xchg dword ptr [ebx],edx lock xchg dword ptr [ebx+4],eax sub ebx,MappingAddress mov dword ptr [esi],ebx xor eax,eax jmp return_ next_gate_: add ebx,8 loop search_ mov eax,STATUS_NOT_FOUND return_: _subendseh_ push eax invoke ZwUnmapViewOfSection, NtCurrentProcess, MappingAddress pop eax exit_: _endseh_ ret NtInstallCallGate endp Code: PhysicalMemoryLockExchange8b proc uses esi edi ebx SectionHandle:HANDLE, PhysicalAddress:PVOID, InOutValue:PLARGE_INTEGER Local MappingSize:ULONG, MappingAddress:PVOID Local SystemInformation:SYSTEM_BASIC_INFORMATION _setseh_ _IsSupportedCx8_ mov esi,PhysicalAddress invoke ZwQuerySystemInformation, SystemBasicInformation, addr SystemInformation, SizeOf SYSTEM_BASIC_INFORMATION, NULL ;PAGE_SIZE test eax,eax jnz exit_ lea edx,MappingAddress push PAGE_READWRITE mov dword ptr [edx],eax lea ecx,MappingSize dec SystemInformation.PhysicalPageSize push edx push ecx push esi and esi,SystemInformation.PhysicalPageSize ;Offset push SectionHandle lea eax,[esi+8] push NtCurrentProcess mov dword ptr [ecx],eax Call MapViewOfPhysicalMemorySection test eax,eax jnz exit_ _subsetseh_ mov edi,InOutValue add esi,MappingAddress xor edx,edx xor eax,eax xor ebx,ebx xor ecx,ecx lock cmpxchg8b qword ptr [Esi] ;Edx:Eax mov ebx,dword ptr [edi] mov ecx,dword ptr [edi+4] lock cmpxchg8b qword ptr [Esi] ;Edx:Eax mov dword ptr [edi],eax mov dword ptr [edi+4],edx ;[Mem64]==Edx:Eax [Mem64]<-Ecx:Ebx ;[Mem64]<>Edx:Eax Edx:Eax<-[Mem64] xor eax,eax _subendseh_ push eax invoke ZwUnmapViewOfSection, NtCurrentProcess, MappingAddress pop eax exit_: _endseh_ ret PhysicalMemoryLockExchange8b endp И есчо с пол мегабайта такого дерьма. PE_Kill Жирно тролите товарищ.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 13:10 · Поправил: Alchemistry · Личное сообщение · #9 bowrouco Конкретика, Клерк, конкретика. Дано: задача в шапке, двиг IDP + ворох тобой придуманных терминов. Требуется: реализовать православный перехват Инде, объяснить ТС решение. Ах да, решение должно быть рабочим, а не "для идеи".
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 13:10 · Поправил: bowrouco · Личное сообщение · #10 Code: PsSplaysSystemService proc uses ebx esi ProcessHandle:HANDLE, MapInformation:PFILE_MAP_INFORMATION, FunctionName:PCHAR, ServiceRva:ULONG, NewFunctionReference:PVOID, ServiceInformation:PSERVICE_INFORMATION, FunctionInformation:PFUNCTION_INFORMATION _setseh_ mov esi,MapInformation assume esi:PFILE_MAP_INFORMATION invoke RtlImageNtHeader, [esi].ImageBase test eax,eax jz err_format_ assume eax:PIMAGE_NT_HEADERS mov ebx,[eax].OptionalHeader.ImageBase test ebx,ebx jz err_format_ mov eax,ServiceRva .if !Eax invoke ImageQueryFunctionRvaFromName, [esi].ImageBase, FunctionName, addr ServiceRva test eax,eax jnz exit_ mov eax,ServiceRva .endif cmp [esi].ViewSize,eax jbe err_format_ add ebx,eax ;Адрес функции invoke IsValidSystemService, ebx test eax,eax jnz exit_ assume ebx:PSERVICE_CALL_INFORMATION mov edx,ServiceInformation assume edx:PSERVICE_INFORMATION .if Edx mov eax,[ebx].ServiceCode xor ecx,ecx mov [edx].ServiceCode,ax .if [ebx].OpReturn==0C2h mov ax,[ebx].RetBytes .endif mov [edx].SizeOfData,ax .endif mov edx,FunctionInformation assume edx:PFUNCTION_INFORMATION .if Edx mov eax,ServiceRva mov [edx].FunctionAddress,ebx mov [edx].FunctionRva,eax .endif lea ebx,[ebx].SystemKi invoke PsWriteVirtualMemoryProtected, ProcessHandle, ebx, addr NewFunctionReference, SizeOf PVOID, addr FunctionName exit_: _endseh_ ret err_format_: mov eax,STATUS_INVALID_IMAGE_FORMAT jmp exit_ err_code_: mov eax,STATUS_INVALID_SYSTEM_SERVICE jmp exit_ PsSplaysSystemService endp Code: ROUTINE_DATA struct pExAllocatePool PVOID ? TotalBytes ULONG ? DataForCopy PVOID ? LoadBytes ULONG ? Space PKERNEL_SPACE ? ROUTINE_DATA ends PROUTINE_DATA typedef ptr ROUTINE_DATA ALLOCATOR_SIZE equ (offset AllocatorRoutineData - offset AllocatorRoutine) ALLOCATOR_FULL_SIZE equ ((ALLOCATOR_SIZE + SizeOf ROUTINE_DATA) + 3) And not(3) AllocatorRoutine proc C enter_km _GetDeltaOffsetHid_ lea ebx,[ebx + offset AllocatorRoutineData] assume ebx:PROUTINE_DATA push [ebx].TotalBytes push NonPagedPool Call [ebx].pExAllocatePool .if !Eax mov eax,STATUS_INTERNAL_ERROR jmp exit_ .endif mov edi,eax push eax mov esi,[ebx].DataForCopy mov ecx,[ebx].LoadBytes .if Esi && Ecx cld rep movsb .endif mov edx,[ebx].TotalBytes mov ebx,[ebx].Space assume ebx:PKERNEL_SPACE pop [ebx].VirtualAddress mov [ebx].SizeOfSpace,edx xor eax,eax exit_: exit_km AllocatorRoutine endp AllocatorRoutineData ROUTINE_DATA <> NtAllocateSpaceAndLoadData proc uses ebx esi edi SectionHandle:HANDLE, NtosMapInformation:PFILE_MAP_INFORMATION, Selector:ULONG, TotalBytes:ULONG, DataForCopy:PVOID, LoadBytes:ULONG, Space:PKERNEL_SPACE Local LoadedInformation:FILE_MAP_INFORMATION, NtosLoadedBase:PVOID Local Gate:CALL_GATE Local Buffer[ALLOCATOR_FULL_SIZE]:BYTE _setseh_ mov ebx,NtosMapInformation assume ebx:PFILE_MAP_INFORMATION mov edx,LoadBytes mov eax,STATUS_INVALID_PARAMETER_4 test edx,edx mov esi,DataForCopy mov ecx,LoadBytes jz exit_ cld .if Esi && Ecx .if TotalBytes<Edx mov eax,STATUS_BUFFER_TOO_SMALL jmp exit_ .endif rep lodsb ;Test read .endif lea edi,Buffer mov ecx,ALLOCATOR_SIZE lea esi,AllocatorRoutine cld lea edx,NtosLoadedBase rep movsb mov eax,TotalBytes assume edi:PROUTINE_DATA push edx push edi push offset FunctionNameList push [ebx].ImageBase mov [edi].TotalBytes,eax Call NtosQueryProcedureAddress test eax,eax mov esi,Space assume esi:PKERNEL_SPACE jnz exit_ mov edx,DataForCopy mov ecx,LoadBytes mov [edi].Space,esi mov [esi].VirtualAddress,eax mov [esi].SizeOfSpace,eax ;Test write mov [edi].DataForCopy,edx mov [edi].LoadBytes,ecx invoke NtExecuteCodeInKernelMode, SectionHandle, ebx, Selector, NtosLoadedBase, addr Buffer, ALLOCATOR_FULL_SIZE, NULL, addr NtosLoadedBase .if !Eax mov eax,NtosLoadedBase .endif exit_: _endseh_ ret FunctionNameList: CHAR "ExAllocatePool",0 CHAR 0 NtAllocateSpaceAndLoadData endp Хм, занятный кодес последний > Требуется: реализовать православный перехват Инде, объяснить ТС решение. ТС нужен универсальный, сие не реализуемо, ибо решение зависит от кода. Кстате вы говорили про не православные патчи в моей реализации, а не про кошерные решения. У меня небыло задач, где я не знал вызываемых апи заранее
ClockMan Ранг: 568.2 (!), 465thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 19 ноября 2011 13:15 · Личное сообщение · #11 bowrouco Нефига ты коды постишь раз в 3 сек,ты чё батарейки на прямую к мозгу подключил? ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 13:19 · Личное сообщение · #12 ClockMan Выбрал по теме и запостил, есчо нашёл и опять запостил. Чтоб вы не ждали.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 13:37 · Личное сообщение · #13 bowrouco ТС нужен универсальный, сие не реализуемо, ибо решение зависит от кода. Кстате вы говорили про не православные патчи в моей реализации, а не про кошерные решения. У меня небыло задач, где я не знал вызываемых апи заранее Вот ты и сам признал негодность своего двига. Тебе чтобы перенаправить управление на свой обработчик нужно выполнить куеву тучу телодвижений. И так для каждой функции как я понимаю. Универсальности нет как таковой вообще. То есть негодно, выражаясь твоим языком. Идем дальше. Смотрю я твой двиг (один из вариантов) и вижу море x86 хардкода, не портируемого. А следовательно негодно. Ок, пошли дальше - собственно пейлоад двига, ну типа для чего ты его запилил. Двиг позиционируется как илитный кодес для скрытия от всяких аверских детекторов патчей и замена "негодного" патча (обсуждали раньше - кому интересно двигайте в соседний топ "и снова патчи"). Тут остановимся. Покажи мне авера, который орет на какие-то там перехваты и на основании этого выдает вердикт - малварь. Что касается разнообразного треша типа твоего любимого гмера - как правило до таких вещей доходит уже тогда когда юзер знает, что у него малварь. То бишь малвари так и так уже не жить - комп отрубается от инета - пейлоада от ботов нету, TTL бота стремительно приближается к нулю. А в энтерпрайз таким хукалкам ход заказан по объективным причинам, ибо там нужна стабильность и куча других вещей не свойственных твоим кодесам. Итоги: Непортируемый, не универсальный движок, документации внятной нет, статей (даже на васме) по нему нет, цели движка непонятны. Огромное количество хардкода для выполнения банальных операций. С другой стороны имеем "не тру" патч с трамплином, поддерживаемый на 100% мс и лишенный всех недостатков "тру патча Инде". Библа их называется Detours. Помимо нее существует туча других движков (некоторые кросс-платформ даже!), между прочим куда надежнее в плане стабильности, чем то что описывается в линках, что накидал PE_Kill во втором посте. Ну и че в итоге? А в итоге, православный патч от Инде то негодный оказывается. Потому и никто до сих пор не заюзал. Как и большинство из того что у тебя в log.txt (да я его читаю иногда) p.s. А между прочим ТС выдал список API для перехвата, для тренировки как сам написал.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 13:56 · Поправил: bowrouco · Личное сообщение · #14 Alchemistry > Вот ты и сам признал негодность своего двига. Я признаю что это не годно для вас и ваших дадач. Мне не нужно универсальное. Вы хотите функу Patch(ModuleName$, EntryName$). Чтобы можно было юзать это не зная даже что делает EntryName$ и как реализована. Когда я чтото реализую то чётко знаю все функи< которые мне нужно отслеживать. Вы это считаете не годным, пусть будет так. Проблема в том, что для использования тогоже IDP нужно знать реализацию кода, который будет отслеживаться. Есть средства автоматизации, но также не универсальные. Вдобавок IDP причём тут совершенно не понятно, в том семпле это только как один из множества способов получить управление внутри апи, это опорное место для дальнейшей маршрутизации. > Смотрю я твой двиг (один из вариантов) и вижу море x86 хардкода, не портируемого. А следовательно негодно. Там нет вообще хардкода(хотя кто знает что вы под этим понимаете). Если бы вы посмотрели сурс, то нашли бы там в хидере "MI" - это именно и значит что хардкода нет, нет привязки расстоянию между инструкциями, нет статических данных. Портабельность - это нельзя портировать на x64, там нет LDT. Но замена сегментов не единственное решение, можно использовать дизасм, но так как это тяжёлый код и я не юзаю x64, то мне достаточно текущего движка. > GetVersion Это нет смысла даже патчить, версия и её копия лежат в PEB. > GetDriveType & GetVolInfo Они наверно использует ProcessDeviceMap и NTRTL для манипуляции путями, например юзают хип. Есть стопяцот способов это отслеживать. Но вы главную мысль потеряли как обычно - отложенная передача управления позволяет контролировать апи до и после вызова имеющейся. Так бы решал я. Вам же сие не годно, ибо не универсально. Но самое главное касается непосредственно этой темы - какие движки левые, если хотпатч это системный механизм, для этого и имеется почти во всех процедурах префикс. Кстати провайдер верификации позволяет сделать это вообще без исполнения кода - задаётся список имён апи и модулей и из дллмейн отдаётся нэйтиву, а там верификатор сам всё запатчит
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 19 ноября 2011 14:33 · Личное сообщение · #15 bowrouco епта, какого хрена ты всё на свои задачи переводишь? Этот топик создавал не ты, раз отписался, помоги ТС решить его проблему, закодь функционал. Не можешь - иди на*й с этого топика и с этого форума, твои илитные сорсы ни кому не уперлись. ----- Yann Tiersen best and do not fuck \| Сообщение посчитали полезным: SegFault
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 14:37 · Личное сообщение · #16 PE_Kill Это вы переводите мои решения на свои задачи. У нас с вами разные цели и разные методы. Я ответил изначально совсем не вам, вы начали задавать вопросы и теперь куда то посылаете. А ТС тоже может получить полезное из этого обсуждения - я написал про хотпатч и верификатор, дело за малым - изучить как оно робит и заюзать.
SegFault Ранг: 44.8 (посетитель), 19thx Активность: 0.04↘0 Статус: Участник	Создано: 19 ноября 2011 14:43 · Личное сообщение · #17 bowrouco пишет: Кстати давным давно, когда я был таким наивным и нубом C тех пор ничего не изменилось.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 14:52 · Личное сообщение · #18 bowrouco Стоп приехали. Ты под верификатором понимаешь AVrf/RTL_VERIFIER? Ну ты даешь, Инде. ТС нужно простое решение, а ты предлагаешь значит пилить в реестр Image Executions Options параметры загрузки длл-ки, потом пилить собственно калбек и все это дело на нативе лишь для того чтобы менеджер тебе запилил IAT на интересующие тебя API. Тебе самому не кажется, что твоя идея реализация сложнее чем поставленная задача на несколько порядков?
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 14:57 · Личное сообщение · #19 Alchemistry Да, AVRF. Опции в конфиг писать не обязательно, можно в обход этого заюзать. Сам пользовательский провайдер предельно прост. Я не предлагаю сложное, как например я грузил провайдер из ресурсов(длл), разбирал апи его инициализации, в зависимости от версии и дёргал вручную. Это сложно. А просто длл запилить куда уж проще. Не нравится провайдер - хотпатч есть.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 19 ноября 2011 15:02 · Личное сообщение · #20 bowrouco пишет: Не нравится провайдер - хотпатч есть. Так хотпатч же не илитно, и кто его юзает - гавно. Тебя не понять. bowrouco пишет: У нас с вами разные цели и разные методы. Так есть проблема в шапке, реши. Не можешь, какого хера тут делаешь тогда? ----- Yann Tiersen best and do not fuck
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 15:06 · Поправил: Alchemistry · Личное сообщение · #21 bowrouco пишет: Не нравится провайдер - хотпатч есть Оно самое вообще-то ТС и предлагается, если конечно под хотпатчем понимается решение МС, а не какой-нибудь твой термин. А насчет верифера - у него специфическое применение как средства диагностики системы самой же системой. Зачем его использовать ТС? Мало того что андок (андок в нормальных приложениях должен отсутствовать нафиг вообще), так еще с тем же успехом, но гораздо проще можно реализовать тот же баянистый IAT, на который дофига примеров в гугле.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 15:15 · Поправил: bowrouco · Личное сообщение · #22 PE_Kill > Так есть проблема в шапке, реши. Не можешь, какого хера тут делаешь тогда? Я решил. И привёл код. > Так хотпатч же не илитно, и кто его юзает - гавно. Тебя не понять. ТС нужен именно патч как сказали. Это его задача и без разницы элитно или нет. Какой же ты толстый троль. Хотя вероятно совсем с головой не дружишь, это бы обьяснило то что ты говоришь, либо имеешь ко мне какуюто не нависть, изза этого и так толсто тролишь. Хотя иначе было бы скучно, лучше так. Alchemistry > Оно самое вообще-то ТС и предлагается, если конечно под хотпатчем понимается решение МС, а не какой-нибудь твой термин. То самое, что реализуется самой осью. Имеется для этого интерфейс - LdrHotPatchRoutine().
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 19 ноября 2011 15:23 · Личное сообщение · #23 Клерк, не соскакивай с темы, дай номер колбека, может таr ты не проигноришь: http://exelab.ru/f/action=vthread&forum=7&topic=18520&page=3#9 ----- Yann Tiersen best and do not fuck
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 15:26 · Личное сообщение · #24 bowrouco Она андок и хер пойми что у нее с легаси и как она в портах, если вообще есть. Не заявляю, что ее нельзя юзать, но в обычной программе, еще раз говорю, андок приемов не должно быть. Подсаживать нуба с первых же шагов на андок это в корне неверный шаг. Тот же патч можно реализовать своими руками или использовать готовые двиги, коих дофига и больше. В общем я давно заметил, что Инди всегда предлагает рвать гланды через вне зависимости от задачи. Будь проще епт.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 15:59 · Личное сообщение · #25 PE_Kill Если вы всё про колбеки, то в конце эмуляции дёргается нулевой. И в процессе обработки иногда тоже. CB_DumpCPUContext - видимо вы авер, раз гдето нашли эти константы, хотя не удивительно, я давно подозревал. Alchemistry Какая разница что андок, главное чтоб во всей линейке работала. Хотя я не смотрел как там у неё с совметсимостью, ибо для меня этот функционал интереса не представляет. В любом случае код NT закрыт и всякая попытка его потыкать это андок, мс не приводило бинарный код тойже GetVersion().. Вот теперь и я уже как троль
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 16:12 · Личное сообщение · #26 bowrouco hotpatching появился начиная Win2003 SP1, вместе с какой-то версией компилера, не помню точно. В любом случае код NT закрыт и всякая попытка его потыкать это андок Ложь, п..оно самое и провокация. МС сделала такую замечательную штуку как "документация". Причем она как правило исчерпывающая по всем необходимым программистам вещам. Плюс Microsoft Press, целое издательство, где печатаются такие авторы как Рихтер, которого ты окрестил ламером и Руссинович. Документация и поддержка - то чего у твоих поделий отсутствует в принципе, текстовый документ на народе не вариант. MSDN + http://www.microsoft.com/resources/sharedsource/windowsacademic/researchkernelkit.mspx + WinDBG + политика по отношению к символам. + еще и еще Да Инде ты тролль, я знаю.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 16:17 · Поправил: bowrouco · Личное сообщение · #27 Alchemistry WRK это код ядра. Там нету винапи. А пижженый код, когда то утёкший - его балмер не одобряет. С таким же успехом я могу утверждать что всё чего нет в легальной документации, но есть в тех утёкших сурсах легально и документировано. Хотя последнее я и раньше утверждал. А с символами + дебуггер + есчо любой нужный инструмент всё становится документированным. Теперь вы понимаете что я должен понимать когда вы мне про документированность говорите.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 16:23 · Поправил: Alchemistry · Личное сообщение · #28 bowrouco Ты слышал звон, да не понял где он. Все эти инструменты идут в довесок к легальной документации, а не взамен ее. А что думает Балмер мне по три буквы, мне важно что думают клиенты моего софта. Нет андока - нет проблем с портом, со следующими версиями винды и т.д. А ты хочешь сказать я не могу перехватить GetVersion не зная как она реализована внутрене что-ли? Что за бред? Как раз твое илитное двигло тут навернется медным тазом, а вот старые как мир и стабильные методы сработают на ура.
bowrouco Ранг: 47.7 (посетитель), 17thx Активность: 0.09↘0 Статус: Участник	Создано: 19 ноября 2011 16:26 · Личное сообщение · #29 Alchemistry Я хочу сказать что андок понятие слишком расплывчатое. Вы привели пример инструментов ресерча, которые делают всё документированным. Реализация GetVersion() не описана, её можно получить ресерчем. Также и эту ExApplyCodePatch() и LdrHP.
Alchemistry Ранг: 145.8 (ветеран), 191thx Активность: 0.14↗0.36 Статус: Участник	Создано: 19 ноября 2011 16:31 · Поправил: Alchemistry · Личное сообщение · #30 bowrouco А нафига мне знать реализацию функции для ее перехвата??? Ты вообще слышал о таком понятии как абстракция? Инкапсуляция, не? Для перехвата мне нужно знать только ее общее поведение - что она делает и ее интерфейс, то бишь прототип. Все. Для твоего двига же нужно чуть ли не побайтово знать потроха. Undocumented function - функция не описанная в оф. документации. Ничего расплывчатого тут нет. Не придумывай.
ClockMan Ранг: 568.2 (!), 465thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 19 ноября 2011 16:35 · Личное сообщение · #31 Перешлибы уже в личку ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

<< . 1 . 2 . 3 . >>

Для печати