Delphi, получить значение EAX

Сейчас на форуме: laslo, UniSoft, bartolomeo (+6 невидимых)

Посл.ответ	Сообщение
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 02 декабря 2011 21:22 · Личное сообщение · #1 В Olly ставлю бряк допустим по адресу 0045AB38 PUSH DWORD PTR DS:[EAX+60] В дампе получаю значение лежащее в памяти по адресу EAX+60 Как программно можно узнать значение EAX если оно динамично и получить значение по EAX+60? ReadProcessMemory(Handle, EAX+60, Buffer, SizeOf(Buffer), BytesRead);

Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 02 декабря 2011 21:33 · Личное сообщение · #2 http://msdn.microsoft.com/en-us/library/windows/desktop/ms679362(v=VS.85).aspx ----- StarForce и Themida ацтой!
Promix_17 Ранг: 37.1 (посетитель), 11thx Активность: 0.03↘0 Статус: Участник	Создано: 02 декабря 2011 21:34 · Личное сообщение · #3 Сначала нужно получить само значение регистра EAX. Код примерно следующий: Code: hThread=OpenThread(THREAD_GET_CONTEXT, ...); thread_context.ContextFlags = CONTEXT_ALL; GetThreadContext(hThread,&thread_context); ReadProcessMemory(Handle, (void )((char* *)thread_context.Eax+60), Buffer, SizeOf(Buffer), BytesRead);
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 02 декабря 2011 22:51 · Личное сообщение · #4 Code: const THREAD_ALL_ACCESS = 2032639; CONTEXT_ALL = 524351; var TreadContext: TContext; ThreadRecord: TThreadEntry32; BytesRead: DWord; ThreadHandle: THandle; Buffer : DWord; begin ThreadHandle := OpenThread(THREAD_ALL_ACCESS, False, ThreadRecord.th32ThreadID); TreadContext.ContextFlags := CONTEXT_ALL; GetThreadContext(ThreadHandle, TreadContext); ReadProcessMemory(ThreadHandle, PChar(TreadContext.EAX+60), @Buffer, SizeOf(Buffer), BytesRead); ShowMessage(PChar(@Buffer)); CloseHandle(ThreadHandle); end; Получилось так, но EAX в в чужой запущенной программе, как мне теперь подвязать это к чужой программе?
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 02 декабря 2011 23:08 · Личное сообщение · #5 Чет вопрос не понятен. ----- StarForce и Themida ацтой!
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 02 декабря 2011 23:21 · Личное сообщение · #6 Чужая программа запущенна и работает, нужно написать код, чтобы изменить значение в её адресном пространстве, а чтобы найти адрес значения в памяти нужно брякнуть 0045AB38 PUSH DWORD PTR DS:[EAX+60] и по адресу EAX+60, будет значение, но EAX динамичен и адреса в памяти разные.
tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 02 декабря 2011 23:42 · Личное сообщение · #7 пишите свой мини-отладчик, который будет запускать прогу, ставить бряк, и после срабатывания бряка читать контекст PE_Kill выкладывал где-то тут сырки своего отладчика (TDebugger вроде назывался)
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 02 декабря 2011 23:51 · Личное сообщение · #8 Нет, я не пишу отладчик, мне нужно лишь прочитать значение в памяти по адресу, который постоянно меняется.
daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 03 декабря 2011 00:19 · Личное сообщение · #9 Terminate Или отладчик или запись прыжка зацикленного на себя. Другого не дано. tihiy_grom верно сказал ----- Research For Food
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 00:32 · Личное сообщение · #10 Ясно. Всем спасибо.
yanus0 Ранг: 137.9 (ветеран), 45thx Активность: 0.08↘0 Статус: Участник	Создано: 03 декабря 2011 02:42 · Личное сообщение · #11 Terminate я думаю не приват: Code: unit Unit1; interface uses Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms, Dialogs, StdCtrls; type TForm1 = class(TForm) eName: TEdit; ePass: TEdit; btnSniff: TButton; btnClose: TButton; lblLog: TLabel; Button1: TButton; procedure btnSniffClick(Sender: TObject); procedure Button1Click(Sender: TObject); private { Private declarations } public { Public declarations } end; var Form1: TForm1; WantToClose: boolean = false; const LOOP: array [0..1] of Byte = ($EB,$FE); addr = $0044D10F; addr1 = $0040130a; implementation {$R .dfm} function SniffSerial(PI: PROCESS_INFORMATION; Ctx: _Context): string; var X: Cardinal; Buff: PChar; begin // выделяем немного памяти GetMem(Buff,50); // останавливаем программу, чтобы получить контекст SuspendThread(PI.hThread); GetThreadContext(PI.hThread,Ctx); // считываем [EAX] (правильный серийный номер) ReadProcessMemory(PI.hProcess, Pointer(Ctx.Edx),Buff,50,X); // устанавливаем результат и освобождаем буффер Result:=Trim(Buff); FreeMem(Buff); end; procedure TForm1.btnSniffClick(Sender: TObject); var PI: PROCESS_INFORMATION; SI: STARTUPINFO; Context: _CONTEXT; Buffer: PChar; ORIG: array [0..1] of Byte; S: string; W: DWORD; begin // дисаблим кнопку (избегаем запуска цели несколько раз) btnSniff.Enabled := False; // выделяем паямть и инициализируем вары GetMem(Buffer, 255); FillChar(PI, SizeOf(TProcessInformation), #0); FillChar(SI, SizeOf(TStartupInfo), #0); SI.cb := SizeOf(SI); //создаём процесс (засуспеженный) if not* CreateProcess('1.exe', nil, nil, nil, False, CREATE_SUSPENDED, nil, nil, SI, PI) then begin // активируем кнопку btnSniff.Enabled := True; // устанавливаем новый лог lblLog.Caption := 'Failed to load process!'; Exit; end; // читаем оригинальные байты ReadProcessMemory(PI.hProcess, Pointer(addr), @ORIG, 2, W); // пишем непрерывный цикл WriteProcessMemory(PI.hProcess, Pointer(addr), @LOOP, 2, W); // восставнавливаем работу программы ResumeThread(PI.hThread); Context.ContextFlags := $00010000 + 15 + $10; // устанавливаем новый лог lblLog.Caption := 'Process patched!' + #13 + 'Now enter a name and press the "Check" button...'; while GetThreadContext(PI.hThread, Context) do begin // проверяем достигли ли мы цикла? if Context.Eip = addr then begin // получаем серийный номер и кладём его в "S" S := SniffSerial(PI, Context); // восстанавливаем оригинальныйе байты и продолжаем работу программы WriteProcessMemory(PI.hProcess, Pointer(addr), @ORIG, 2, W); ResumeThread(PI.hThread); // копируем серийный номер в буффер обмена и устанавливаем новый лог ePass.Text := s; lblLog.Caption := 'Your serial has been copied to clipboard!'; end; // ждём 10 миллисекунд Sleep(10); Application.ProcessMessages; // если пользователь хочет закрыть сниффер до выхода из программы, то закрываем и цель тоже if WantToClose then begin TerminateThread(PI.hThread, 0); Close; end; end; // высвобождаем память выделенную в начале FreeMem(Buffer); // активируем кнопку btnSniff.Enabled := True; end; function SniffMain(ProcessName: string; Adress: Cardinal): string; function Sniff(PI: PROCESS_INFORMATION; Ctx: _Context): string; var X: Cardinal; Buff: PChar; begin GetMem(Buff,50); SuspendThread(PI.hThread); GetThreadContext(PI.hThread,Ctx); ReadProcessMemory(PI.hProcess, Pointer(Ctx.Edx),Buff,50,X); Result:=Trim(Buff); FreeMem(Buff); end; function MemFind(ProcessHandle: Thandle; Addr: Cardinal; Value: array of byte; var RetAdr: Cardinal): boolean; var Mbi: TMemoryBasicInformation; Buf: PChar; gif: Pchar; I, J: Cardinal; BytesRead: Dword; begin Result := false; if ProcessHandle <> 0 then try J := 0; RetAdr := 0; Result := false; while (VirtualQueryEx(ProcessHandle, Pointer(Addr), Mbi, SizeOf(Mbi)) <> 0) and (RetAdr = 0) do begin if (Mbi.State = MEM_COMMIT) and not ((Mbi.Protect and PAGE_GUARD) = PAGE_GUARD) then begin GetMem(Buf, Mbi.RegionSize); try if ReadProcessMemory(ProcessHandle, Mbi.BaseAddress, Buf, Mbi.RegionSize, BytesRead) then begin for I := 0 to BytesRead - SizeOf(Value) do begin if byte(Buf[I]) = (Value[J]) then begin if J < SizeOf(Value) then Inc(j) else begin RetAdr := Cardinal(Mbi.BaseAddress) + I; Result := true; end; end else J := 0; end; end else MessageBox(0, Pchar('Failed to read process memory ' + IntToStr(GetLastError)), '', 0); finally FreeMem(Buf); end; end; Addr := Addr + Mbi.RegionSize; end; finally end else MessageBox(0, Pchar('Failed to open process'), '', 0); end; var PI: PROCESS_INFORMATION; SI: STARTUPINFO; Context: _CONTEXT; Buffer: PChar; ORIG: array [0..1] of Byte; S: string; W: DWORD; adr2: Cardinal; begin GetMem(Buffer, 255); FillChar(PI, SizeOf(TProcessInformation), #0); FillChar(SI, SizeOf(TStartupInfo), #0); SI.cb := SizeOf(SI); if not CreateProcess(pchar(ProcessName), nil, nil, nil, False, CREATE_SUSPENDED, nil, nil, SI, PI) then begin Exit; end; SuspendThread() ResumeThread(PI.hThread); Context.ContextFlags := $00010000 + 15 + $10; while GetThreadContext(PI.hThread, Context) do begin if Context.Eip = addr then begin ResumeThread(PI.hThread); Result := s; Break; end; Sleep(10); Application.ProcessMessages; end; CloseHandle(PI.hThread); FreeMem(Buffer); end; procedure TForm1.Button1Click(Sender: TObject); begin SniffMain('1.exe', 0); end; end.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 03 декабря 2011 05:42 · Личное сообщение · #12 yanus0 вся работа ведется с одним потоком, поэтому нужно смотреть основной ли поток мы хотим обрабатывать, иначе добавить функционал слежения за потоками. >> function MemFind(ProcessHandle: Thandle; Addr: Cardinal; Value: array of byte; var RetAdr: Cardinal): boolean; Очень опасно так писать. При таком подходе компилятор генерирует код, который копирует массив на стек и передает в качестве параметра весь массив на стеке, у меня были случаи переполнения стека из за этого. Лучше так: function MemFind(ProcessHandle: Thandle; Addr: Cardinal; Value: PByteArray; var RetAdr: Cardinal): boolean; *** if byte(Buf[I]) = (Value^[J]) then ----- Yann Tiersen best and do not fuck
SergX Ранг: 226.0 (наставник), 67thx Активность: 0.16↘0 Статус: Участник	Создано: 03 декабря 2011 14:02 · Личное сообщение · #13 Terminate пишет: Чужая программа запущенна и работает, нужно написать код, чтобы изменить значение в её адресном пространстве, а чтобы найти адрес значения в памяти нужно брякнуть 0045AB38 PUSH DWORD PTR DS:[EAX+60] и по адресу EAX+60, будет значение, но EAX динамичен и адреса в памяти разные. а лодырь не канает ?
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 15:41 · Личное сообщение · #14 yanus0 Спасибо за исходник. Из всего кода достаточно procedure btnSniffClick и function SniffSerial, но это при использовании как лоадера, а вот как подключится к существующему процессу без CreateProcess и без Аттача, вот это вопрос. Я так понимаю нужно получить ID главного треда, только пока неясно как.
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 03 декабря 2011 15:51 · Личное сообщение · #15 В большинстве случаев значение еах есть где-то в памяти. Найдете где и сможете получать свое значение в любой момент через обычное чтение памяти. Почитайте про создание трейнеров и динамические значения в памяти.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 декабря 2011 15:56 · Личное сообщение · #16 Terminate Если используется аттач, то нужно делать, как в дебаггерах - DebugActiveProcess, перечислили все потоки в отлаживаемом приложении через те же Tool help, OpenThread для каждого потока, а на интересующее место CC (int3). Когда WaitForDebugEvent будет сигнализировать о срабатывании бряка, смотрим, наш ли бряк, GetThreadContext + ReadProcessMemory, декремент EIP, восстанавливаем затёртый байт, SetThreadContext, FlushInstructionCache, а в конце - DebugActiveProcessStop. ----- Stuck to the plan, always think that we would stand up, never ran.
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 16:06 · Личное сообщение · #17 Nightshade В данном случае, значение EAX постоянно изменяется и чтобы получить правильные данные, нужно после определённых действий читать EAX.
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 16:14 · Личное сообщение · #18 ARCHANGEL В принципе, действия с отладкой я думаю тут и не потребуются, тут достаточно зациклить как в исходниках, только вот проблема с определением главного потока.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 декабря 2011 16:16 · Поправил: ARCHANGEL · Личное сообщение · #19 Terminate Да ну - всё гораздо проще. Если зациклили, то читайте контексты всех потоков и сравнивайте EIP с адресом, на котором зациклили. Если нашлось совпадение, то берёте из считанного контекста значение еах, читаете память, снимаете зацикливание и всё. ----- Stuck to the plan, always think that we would stand up, never ran.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 03 декабря 2011 17:38 · Личное сообщение · #20 Terminate пишет: В данном случае, значение EAX постоянно изменяется и чтобы получить правильные данные, нужно после определённых действий читать EAX. Оно же не берется от балды, Nightshade всё правильно написал, только видимо ты не понимаешь сути, а реализовать пытаешься тупо по тому что в отладчике видел, в этом и проблема. ----- Yann Tiersen best and do not fuck
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 03 декабря 2011 18:24 · Личное сообщение · #21 Terminate >PE_Kill выкладывал где-то тут сырки своего отладчика (TDebugger вроде назывался) Не парься, найди компонент и используй его, там все просто... Компонента создаст тебе процесс, остановит в нужном месте, и отдаст значение EAX, и все ----- StarForce и Themida ацтой!
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 18:36 · Личное сообщение · #22 Что-то я таких компонентов не встречал, по запросу TDebugger выдаёт ссылки на отладчик для php.
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 19:58 · Личное сообщение · #23 На основе вышеизложенного исходника, получился код: Code: procedure TForm1.Button1Click(Sender: TObject); const THREAD_ALL_ACCESS = 2032639; CONTEXT_ALL = 524351; LOOP: array [0..1] of Byte = ($EB,$FE); var ORIG: array [0..1] of Byte; s: string; Buffer: PChar; ProcessID, ThreadsID, Bytes: DWord; ProcessHandle: THandle; ThreadContext: TContext; begin ProcessHandle := FindWindow(nil, 'Прога'); GetWindowThreadProcessId(ProcessHandle, @ProcessID); ProcessHandle := OpenProcess(PROCESS_ALL_ACCESS, False, ProcessID); ThreadsID := CreateToolHelp32Snapshot(TH32CS_SNAPTHREAD, ProcessID); OpenThread(THREAD_ALL_ACCESS, False, ThreadsID); ThreadContext.ContextFlags := CONTEXT_ALL; SuspendThread(ThreadsID); ReadProcessMemory(ProcessHandle, Pointer($0045AB38), @ORIG, 2, Bytes); WriteProcessMemory(ProcessHandle, Pointer($0045AB38), @LOOP, 2, Bytes); ResumeThread(ThreadsID); while True do begin GetThreadContext(ThreadsID, ThreadContext); if ThreadContext.EIP = $0081E9F4 then begin SuspendThread(ThreadsID); GetThreadContext(ThreadsID, ThreadContext); ReadProcessMemory(ProcessHandle, Pointer(ThreadContext.EAX), Buffer, 4, Bytes); s := Trim(Buffer); WriteProcessMemory(ProcessHandle, Pointer($0045AB38), @ORIG, 2, Bytes); ResumeThread(ThreadsID); ShowMessage(s); Exit; end; Sleep(10); Application.ProcessMessages; end; CloseHandle(ProcessHandle); end; но он отрабатывает не правильно, программу он вроде зацикливает но EIP не находит.
yanus0 Ранг: 137.9 (ветеран), 45thx Активность: 0.08↘0 Статус: Участник	Создано: 03 декабря 2011 20:34 · Личное сообщение · #24 Terminate Под дебагером посмотри что происходит.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 декабря 2011 20:48 · Личное сообщение · #25 Terminate Так вы ж хрень открываете: Code: ThreadsID := CreateToolHelp32Snapshot(TH32CS_SNAPTHREAD, ProcessID); OpenThread(THREAD_ALL_ACCESS, False, ThreadsID); ----- Stuck to the plan, always think that we would stand up, never ran.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 03 декабря 2011 21:09 · Личное сообщение · #26 +1, снапшот открывает Елы палы, апи же в мсдн описаны, как такую хуйню можно написать? ----- Yann Tiersen best and do not fuck \| Сообщение посчитали полезным: SReg
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 21:19 · Поправил: Terminate · Личное сообщение · #27 Я подозревал, что в этом одна из проблем Прочитал: "If the function succeeds, it returns an open handle to the specified snapshot." оказывается хендл снимка
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 03 декабря 2011 21:53 · Личное сообщение · #28 Terminate Щас посмотрел ваш код дальше. О, господи! Святые небеса! Мало того, что снапшот открываете, так вы не используете результат OpenThread, вы потом хэндл снапшота используете как хэндл потока для чтения контекста! ----- Stuck to the plan, always think that we would stand up, never ran.
Terminate Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 03 декабря 2011 22:10 · Личное сообщение · #29 Code: procedure TForm1.Button1Click(Sender: TObject); const THREAD_ALL_ACCESS = 2032639; CONTEXT_ALL = 524351; LOOP: array [0..1] of Byte = ($EB,$FE); var PI: PROCESS_INFORMATION; ORIG: array [0..1] of Byte; s: string; Buffer: PChar; ThreadEntry: TThreadEntry32; SnapHandle, ProcessID, ThreadsID, Bytes: DWord; ProcessHandle: THandle; ThreadContext: TContext; Find: Boolean; begin ProcessHandle := FindWindow(nil, 'Прога'); GetWindowThreadProcessId(ProcessHandle, @ProcessID); ProcessHandle := OpenProcess(PROCESS_ALL_ACCESS, False, ProcessID); SnapHandle := CreateToolHelp32Snapshot(TH32CS_SNAPTHREAD, ProcessID); ThreadEntry.dwSize := SizeOf(ThreadEntry); Find := Thread32First(SnapHandle, ThreadEntry); while Find do begin if ProcessID = ThreadEntry.th32OwnerProcessID then begin ThreadsID := ThreadEntry.th32ThreadID; Break; end; Find := Thread32Next(SnapHandle, ThreadEntry); end; CloseHandle(SnapHandle); OpenThread(THREAD_ALL_ACCESS, False, ThreadsID); ThreadContext.ContextFlags := CONTEXT_ALL; SuspendThread(ThreadsID); ReadProcessMemory(ProcessHandle, Pointer($0081E9F4), @ORIG, 2, Bytes); WriteProcessMemory(ProcessHandle, Pointer($0081E9F4), @LOOP, 2, Bytes); ResumeThread(ThreadsID); while True do begin GetThreadContext(ThreadsID, ThreadContext); if ThreadContext.EIP = $0081E9F4 then begin SuspendThread(ThreadsID); GetThreadContext(ThreadsID, ThreadContext); ReadProcessMemory(ProcessHandle, Pointer(ThreadContext.EAX), Buffer, 4, Bytes); s := Trim(Buffer); WriteProcessMemory(ProcessHandle, Pointer($0081E9F4), @ORIG, 2, Bytes); ResumeThread(ThreadsID); ShowMessage(s); Exit; end; Sleep(10); Application.ProcessMessages; end; CloseHandle(ProcessHandle); end; ARCHANGEL как использовать результат от OpenThread? в SuspendThread(?); Результат от OpenThread почему-то равен хендлу снапшота.
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 03 декабря 2011 22:42 · Личное сообщение · #30 надо понимать, что пишешь, а не бездумно копировать http://vsokovikov.narod.ru/New_MSDN_API/Process_thread/fn_openthread.htm Code: hThread := OpenThread(THREAD_ALL_ACCESS, False, ThreadsID); SuspendThread(hThread); ----- [nice coder and reverser]

Для печати