Полная инициализация процесса

Сейчас на форуме: Rio, tyns777, zombi-vadim (+7 невидимых)

Посл.ответ	Сообщение
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 августа 2014 12:59 · Личное сообщение · #1 В общем написал лодырь... Цель, запустить процесс дождаться полной инициализации, заморозить, пропатчить в памяти.. и отпустить.. Вопрос, как поймать момент полной инициализации без запуска процесса? WaitForInputIdle(pi.hProcess, INFINITE) не канает.. т.к. запускает процесс и патчить уже поздно. WaitForSingleObject(pi.hProcess, INFINITE) срабатывает только если процесс завершен, тоже не канает. Дрова не предлагать, нужен вариант из под юзермода... Использую сейчас вариант Code: invoke CreateProcess,NULL,chr$("proc.exe"),NULL,NULL,NULL,NORMAL_PRIORITY_CLASS,NULL,NULL,addr startInfo,addr processInfo .if eax == NULL call LastError .endif invoke Sleep,20 invoke SuspendThread,processInfo.hThread .if eax == INVALID_HANDLE_VALUE call LastError .endif Но Sleep крайне не надежен... В общем, подскажите вариант... плиз.. ----- aLL rIGHTS rEVERSED!

Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 11 августа 2014 13:09 · Личное сообщение · #2 И что мешает воткнуть eb fe на точку входа или бряк, если на дебаг апи? \| Сообщение посчитали полезным: Vovan666, OnLyOnE
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 августа 2014 13:13 · Личное сообщение · #3 Archer Умница) Ну тупанул.. щас спробую) ----- aLL rIGHTS rEVERSED!
deniskore Ранг: 53.9 (постоянный), 33thx Активность: 0.05↘0 Статус: Участник	Создано: 11 августа 2014 13:20 · Поправил: deniskore · Личное сообщение · #4 В своем лоадере использую следующую схему. 1) Беру адрес EntryPoint из PE header-a, далее CreateProcess (SUSPENDED \| DEBUG) 2) Нахожу базовый адрес по которому загрузился. 3) Пишу привилегированные интсрукции на TLS и EP. 4) Отпускаю процесс, ловлю в дебаг ивенте свои инструкции, патчу нужные данные по оффсету от базы или поиском, восстанавливаю оригинальные байты на TLS или EP. 5) Отпускаю процесс. При желании сюда же можно воткнуть анти-анти-дебаг
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 11 августа 2014 13:31 · Личное сообщение · #5 Archer deniskore Аналогично! Действеннее, проще и универсальнее ничего пока не находил. ) Ещё как вариант - перехватить выход из KiUserApcDispatcher. Перехват будет до NtSetInformationThread и тут можно сделать свои настройки. А можно перехватить NtSetInformationThread ----- IZ.RU
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 августа 2014 13:32 · Личное сообщение · #6 Archer пишет: И что мешает воткнуть eb fe на точку входа или бряк, если на дебаг апи? Бро..(( такая тема.. дело в том, что мой ехе имеет релоки.. и их не вырезать.. т.к. чекается CRC.. под вин7 ехе может грузиться куда угодно.. Для того чтобы найти его в памяти... использую комбинацию из 3 пальцев)) Code: xor ebx,ebx mov me32.dwSize,sizeof MODULEENTRY32 mov pe32.dwSize,sizeof PROCESSENTRY32 mov hProcess,FUNC(CreateToolhelp32Snapshot,TH32CS_SNAPPROCESS,NULL) _search_process_: .if ebx != 1 invoke Process32First,hProcess,addr pe32 inc ebx jmp @F .endif invoke Process32Next,hProcess,addr pe32 .if eax == NULL call LastError .endif @@: invoke CharLower,addr pe32.szExeFile invoke lstrcmpi,addr pe32.szExeFile,chr$("proc.exe") .if eax != NULL jmp _search_process_ .endif mov hModule,FUNC(CreateToolhelp32Snapshot,TH32CS_SNAPMODULE,pe32.th32ProcessID) invoke Module32First,hModule,addr me32 invoke CloseHandle,hModule .if eax == NULL call LastError .endif invoke CloseHandle,hProcess .if eax == NULL call LastError .endif только после этого смогу найти реальный адрес OEP ... но это после инициализации только.. т.к. не инициализированный процесс Module32First посылает нахер... ERROR_PARTIAL_COPY(( ----- aLL rIGHTS rEVERSED!
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 11 августа 2014 13:35 · Личное сообщение · #7 Указатель на PEB лежит в одном из регистров в контексте на CREATE_SUSPENDED, откуда можно выцепить базу. В х86 и х64 разные регистры, сходу не помню, ebx и rcx, что ли. А в eax на х86 сразу точка входа лежит. Да и было это всё на форуме уже.
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 11 августа 2014 13:37 · Поправил: DenCoder · Личное сообщение · #8 OnLyOnE пишет: но это после инициализации только прочитай регистр eax у усыплённого процесса, и на 7ке он указывает на адрес OEP )) Archer пишет: В х86 и х64 разные регистры Да, на x64 может быть другой, не rax. Не помню какой... ----- IZ.RU
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 августа 2014 13:44 · Личное сообщение · #9 DenCoder пишет: прочитай регистр eax у усыплённого процесса, и на 7ке он указывает на адрес OEP )) у в какой момент читать? креатпроцесс возвращает 1 в еах) ----- aLL rIGHTS rEVERSED!
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 11 августа 2014 13:59 · Поправил: DenCoder · Личное сообщение · #10 не креатпроцесс, а геттредконтекст! Берёшь хендл потока из известной структуры для креатпроцесса твоего, берёшь геттредконтекст'ом значения регистров, смотришь eax ))) ----- IZ.RU \| Сообщение посчитали полезным: OnLyOnE
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 августа 2014 14:04 · Личное сообщение · #11 ок сенкс. щас проверим ----- aLL rIGHTS rEVERSED!
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 11 августа 2014 14:21 · Поправил: Vovan666 · Личное сообщение · #12 OnLyOnE пишет: под вин7 ехе может грузиться куда угодно.. при создания процесс CREATE_SUSPENDED [EBX+8]=ImageBase
ajax Ранг: 337.6 (мудрец), 224thx Активность: 0.21↘0.1 Статус: Участник born to be evil	Создано: 11 августа 2014 14:28 · Поправил: ajax · Личное сообщение · #13 DenCoder пишет: берёшь геттредконтекст'ом значения регистров, смотришь eax под x64 фуфло будет. хз почему - не копался Vovan666 зная оффсет, или вычисляя по хеадеру - все относительно... ps: --> http://code.google.com/p/injector/ <-- ----- От многой мудрости много скорби, и умножающий знание умножает печаль
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 11 августа 2014 14:36 · Поправил: OnLyOnE · Личное сообщение · #14 Vovan666 пишет: при создания процесс CREATE_SUSPENDED [EBX+8]=ImageBase Это я видел. DenCoder пишет: Берёшь хендл потока из известной структуры для креатпроцесса твоего, берёшь геттредконтекст'ом значения регистров, смотришь eax ))) GetThreadContext в еах == 1 а структура контекста обнуляется полностью.. ----- aLL rIGHTS rEVERSED!
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 11 августа 2014 15:10 · Поправил: Vovan666 · Личное сообщение · #15 В общем как-то так Code: .const hookbytes dw 0FEEBh .data? pinfo PROCESS_INFORMATION <> sinfo STARTUPINFO <> .data? align dword threadcontext CONTEXT <> backupb db 2 dup(?) invoke CreateProcess,"target.exe","",0,0,0,CREATE_SUSPENDED,0,0,offset sinfo,offset pinfo invoke RtlZeroMemory,addr threadcontext,sizeof threadcontext mov threadcontext.ContextFlags,CONTEXT_FULL invoke GetThreadContext,pinfo.hThread,addr threadcontext mov eax,threadcontext.regEax add eax,38h invoke ReadProcessMemory,pinfo.hProcess,eax,addr oep,4h,0 invoke ReadProcessMemory,pinfo.hProcess,[oep],addr backupb,2h,0 invoke WriteProcessMemory,pinfo.hProcess,[oep],offset hookbytes,2h,0 invoke ResumeThread,pinfo.hThread @@: invoke GetThreadContext,pinfo.hThread,addr threadcontext mov eax,[oep] cmp eax,threadcontext.regEip jnz @B invoke SuspendThread,pinfo.hThread invoke WriteProcessMemory,pinfo.hProcess,[oep],addr backupb,2h,0
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 11 августа 2014 18:42 · Поправил: DenCoder · Личное сообщение · #16 OnLyOnE пишет: GetThreadContext в еах == 1 Не eax на выходе функции, ё-маё ))) А в структуре контекст поле DWORD Eax; А то, что 1 возращает эта функция - это значит успех ) Код на Си Code: CONTEXT ctx; ctx.ContextFlags = CONTEXT_INTEGER; GetThreadContext(pi.hThread, &ctx); DWORD dwOEP = ctx.Eax; Vovan666 А что такое Code: mov eax,threadcontext.regEax add eax,38h ? ) Смещение от EP к OEP ? Для какого-то хитрого пакера? ) ----- IZ.RU
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 11 августа 2014 21:58 · Личное сообщение · #17 DenCoder пишет: Смещение от EP к OEP ? Для какого-то хитрого пакера? ) х.з. но если CREATE_SUSPENDED = System breakpoint в ольке, то именно там оеп, а не просто в еах. писал от балды без проверке на жертве, т.к. всегда юзаю что-то типа mov eax,threadcontext.regEbx add eax,8h invoke ReadProcessMemory,pinfo.hProcess,eax,addr oep,4h,0 add,[oep],EP
DenCoder Ранг: 324.3 (мудрец), 222thx Активность: 0.48↘0.37 Статус: Участник	Создано: 12 августа 2014 13:36 · Личное сообщение · #18 Vovan666 System breakpoint в ольке != CREATE_SUSPENDED. 1) Когда создаётся процесс с флагом CREATE_SUSPENDED, мы находимся на месте ещё перед стартом APC, который делает все необходимые инициализации, в том числе и импорт, и релоки, и TLS, если в хидере нет ошибок. ) 2) Когда в ольке брякаешься на System breakpoint, часть инициализации в APC уже отработало. В первом случае (забыл уже, где именно, но либо в ntdll создающего процесса, либо в ntoskrnl - давно реверсил) устанавливается контекст в создаваемом процессе, который сохраняется APC-рутиной для того, чтобы после инициализации установить его заново. И как раз на XP и 7ке x86 на этапе присваивания контекста в eax заносится EP программы (он же и OEP, если прога ничем не накрыта). В общем, --> тут <-- я уже описывал, как найти EP созданного, пока спящего процесса. ----- IZ.RU
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 12 августа 2014 13:50 · Личное сообщение · #19 Ну ЕP данного процесса мне и не надо было, имиджбазы более чем достаточно) Code: mov eax,threadcontext.regEbx add eax,8h invoke ReadProcessMemory,pinfo.hProcess,eax,addr ImageBase,4h,0 Сделал так .. все заработало) 30% кода вырезал нахер) Спасибо всем) Вопрос решен) ----- aLL rIGHTS rEVERSED!

Для печати