Windows server 2008 r2 x64 vs DLL attach

Сейчас на форуме: UniSoft, zds, ManHunter, rmn (+5 невидимых)

Посл.ответ	Сообщение
noph Ранг: 16.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 08 февраля 2012 19:50 · Личное сообщение · #1 Добрый день всем. Столкнулся с такой проблемой. Моя программа аттачит некую длл к другому процессу. DLL в свою очередь сплайсит ряд функций и тд и тп, в общем-то не важно. Программа успешно работает в ХП, висте, 7ке - вне зависимости от разрядности. И тут один из пользователей программы попробовал её на сабжевом монстре. Программа ошибок при аттаче DLL не пишет, но DLL не аттачится к нужному процессу. Аттач происходит классическим способом: VirtualAllocEx->WriteProcessMemory->CreateRemoteThread Антивирусы и другое стороннее защитное ПО не установлены. Программу запускаю от администратора, то есть с правами тоже проблем быть не должно. Вопрос такой: Какие особенности windows 8 могут мешать инжектить DLL выше-описанным классическим способом? Может там какие-то новые настройки безопасности? Заранее, спасибо за ответ. ЗЫ Дебажной инфы приложить не могу, потому что сам пробовал только через team viewer на этой ос.

Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 08 февраля 2012 20:16 · Личное сообщение · #2 установите на виртуалку данную ось и вперёд а инжект не в системный процесс случаем? ----- [nice coder and reverser]
noph Ранг: 16.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 08 февраля 2012 20:25 · Личное сообщение · #3 Hellspawn пишет: а инжект не в системный процесс случаем? нет. Мало того, моя программа запускает ту программу, в которую инжектит библиотеку. Да вот хотелось бы не довести всё до виртуалки..
sendersu Ранг: 512.7 (!), 360thx Активность: 0.27↘0.03 Статус: Модератор	Создано: 08 февраля 2012 20:37 · Личное сообщение · #4 noph как вариант - OutputDebugString c принтом а) рет кода winapi функций б) getlasterror сделать трейс на работающей ОС и на серверном олене, сравнить. P.S. Win2008 R2 - ето ведь ядро Windows NT 6.1. ? (тоесть еще не Win8)
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 08 февраля 2012 21:20 · Поправил: Maximus · Личное сообщение · #5 Попробуй DEP отклчи, очень много проблем обычно из-за него. Можно еще попробовать запускать приложения в режимах совместимости. ----- StarForce и Themida ацтой!
Gideon Vi Ранг: 1131.7 (!!!!), 447thx Активность: 0.67↘0.2 Статус: Участник	Создано: 09 февраля 2012 04:56 · Личное сообщение · #6 Maximus пишет: Попробуй DEP отклчи, очень много проблем обычно из-за него. угу, будет юзер отключать деп из-за левой софтины.
ajax Ранг: 337.6 (мудрец), 224thx Активность: 0.21↘0.1 Статус: Участник born to be evil	Создано: 09 февраля 2012 08:01 · Поправил: ajax · Личное сообщение · #7 noph пишет: Мало того, моя программа запускает ту программу, в которую инжектит библиотеку тогда проще на EP код вписать, и с контекстом поиграцца, если не .net приложение. еще мысль, что код на треад кривоватый noph пишет: классическим способом ----- От многой мудрости много скорби, и умножающий знание умножает печаль
noph Ранг: 16.5 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 09 февраля 2012 10:51 · Личное сообщение · #8 Кстати, о DEP. Сплайс хукам он не помешает? Просто мне написали, что вроде решили проблему с подгрузкой путём добавления правила в AppLocker для моей dll. Но длл сама по себе не выполняет нужные функции, основная из которых хуки.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 09 февраля 2012 10:56 · Личное сообщение · #9 DEP просто запрещает выполнять код из страниц памяти, которые не имеют исполняемого атрибута. По дефолту, например, такого не имеет хедер, стек, куча. Если софт правильно написан, и ничего такого нет, на деп я бы не грешил.

Для печати