Проверка shell coda в программе

Сейчас на форуме: zds, UniSoft (+6 невидимых)

Посл.ответ	Сообщение
_or_75 Ранг: 9.9 (гость), 1thx Активность: 0.01↘0 Статус: Участник	Создано: 05 ноября 2012 16:30 · Поправил: _or_75 · Личное сообщение · #1 Короче получаю базу мапинга файла вот так: Code: hMap = (LPBYTE)MapViewOfFile(hFileMap, FILE_MAP_ALL_ACCESS, 0, 0, fsize); if(!hMap) { printf("[-] MapViewOfFile failed\n"); CloseHandle(hFileMap); CloseHandle(hFile); return 0; } //Функция проверки кода: Code: int IsInfect(unsigned char* pExe) { if((WORD)((DWORD)pExe+0x1C) == 0x55) // что-то тут не ТАК! return 1; else return 0; } //Проверяю файл на shell код: Code: if(IsInfect((unsigned char *)(LPVOID)hMap)) { printf("[-] FILE GOD!\n"); goto cleanup; } на скриншоте все верно : но в итоге не пишет!!!! '[-] FILE GOD, хотя должно

ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 05 ноября 2012 16:51 · Поправил: ARCHANGEL · Личное сообщение · #2 А кто ж вам сказал, что он маппится по ImageBase? Остальное, я так подагаю - очепятки, т.е. 1С вместо 3С и вторая буква о в "боге" )) ----- Stuck to the plan, always think that we would stand up, never ran.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 05 ноября 2012 16:55 · Личное сообщение · #3 Файл Бог? Ну-ну. Про отладчик ты тоже ничего не слышал? И даже боюсь спросить, при чём тут вообще 0x1C и каким оно образом связано с указанным на скриншоте адресом.
_or_75 Ранг: 9.9 (гость), 1thx Активность: 0.01↘0 Статус: Участник	Создано: 05 ноября 2012 17:05 · Личное сообщение · #4 1C это смешение как вроде
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 05 ноября 2012 18:38 · Личное сообщение · #5 Смещение от чего и до чего? Я вот вижу смещение на скрине 0x9380, например.
Veliant Ранг: 301.4 (мудрец), 194thx Активность: 0.17↘0.01 Статус: Участник	Создано: 05 ноября 2012 19:03 · Личное сообщение · #6 Да и к тому же читаешь WORD и сравниваешь с 55h, а там как минимум 8B55h будет, либо UCHAR/BYTE вместо WORD
_or_75 Ранг: 9.9 (гость), 1thx Активность: 0.01↘0 Статус: Участник	Создано: 05 ноября 2012 19:51 · Поправил: _or_75 · Личное сообщение · #7 писал вот так Code: if((WORD)((DWORD)pExe+0x9380) == 0x55) все нормально а если у меня вот так то не работает. WORD не помогает так как он 2 байта вроде , DWORD в MessageBox показывает 9 байтов вместо 8. ниже на скриншоте в Hex dump я выделил что он в msgbox показывает в строке unicode. Вместо того чтобы показать h7!!..hh6 он мне показывает h7!!..hh642 именно по этому я не могу просто так взять и написать так: Code: if((DWORD)((DWORD)pExe+0x9380) == 0x683713000068683642)
r_e Ранг: 590.6 (!), 408thx Активность: 0.36↘0.18 Статус: Модератор	Создано: 05 ноября 2012 19:59 · Личное сообщение · #8 Code: int IsInfect(void* Base) { const UCHAR Signature[] = { 0x11, 0x22, 0x33, 0x44 }; const ULONG_PTR Offset = 0x9380; return memcmp(reinterpret_cast<PUCHAR>(pExe) + Offset, Signature, sizeof(Signature))) ? StatusNotFound : StatusFound; } ----- старый пень
_or_75 Ранг: 9.9 (гость), 1thx Активность: 0.01↘0 Статус: Участник	Создано: 05 ноября 2012 20:17 · Личное сообщение · #9 r_e пишет: Code: int IsInfect(void* Base) { const UCHAR Signature[] = { 0x11, 0x22, 0x33, 0x44 }; const ULONG_PTR Offset = 0x9380; return memcmp(reinterpret_cast<PUCHAR>(pExe) + Offset, Signature, sizeof(Signature))) ? StatusNotFound : StatusFound; } 100500 ошибок
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 05 ноября 2012 20:24 · Личное сообщение · #10 Настоятельно рекомендую выучить хотя бы элементарные основы языка и предметной области, подо что это всё пишется, а потом уже пытаться что-то писать. Топик кандидат на закрытие.
_or_75 Ранг: 9.9 (гость), 1thx Активность: 0.01↘0 Статус: Участник	Создано: 06 ноября 2012 07:42 · Личное сообщение · #11 все догнал что проекция файла это тоже самое что в ollydbg Hex Dump'е
tomac Ранг: 65.3 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 10 ноября 2012 02:38 · Поправил: tomac · Личное сообщение · #12 _or_75 пишет: DWORD в MessageBox показывает 9 байтов вместо 8 Шедевр. _or_75 пишет: if((DWORD)((DWORD)pExe+0x9380) == 0x683713000068683642) Еще один. Дворд - это 4 байта. MapViewOfFile дает указатель на начало проекции файла, если грузили без всяких SEC_IMAGE, прямо там будет MZ. Почитай про базу загрузки, базу файла, секции. И вообще про загрузку PE файлов в память. //Пардон, что пишу в относительно старую тему, не мог удержаться после 9 байт в дворде.

Для печати