Реверсинг. Задай вопрос - получи ответ

Discussion in 'Реверсинг' started by 0x0c0de, 2 Sep 2007.

  1. iv.

    iv. Elder - Старейшина

    Joined:
    21 Mar 2007
    Messages:
    1,197
    Likes Received:
    436
    Reputations:
    107
    =))) http://wasm.ru/series.php?sid=17
     
  2. miqo

    miqo Banned

    Joined:
    18 Nov 2008
    Messages:
    100
    Likes Received:
    0
    Reputations:
    -1
    Lyudi podskojite kak skr@t bpk (perfect keylogger) ot antivirusa.(proshu ne udalyat)...........................ochen srochno
     
  3. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    915
    Likes Received:
    274
    Reputations:
    59
    http://forum.antichat.ru/thread92446.html
     
    #263 neprovad, 19 Nov 2008
    Last edited: 19 Nov 2008
  4. miqo

    miqo Banned

    Joined:
    18 Nov 2008
    Messages:
    100
    Likes Received:
    0
    Reputations:
    -1
    postav pojalusta link....
     
  5. -=Nicon=-

    -=Nicon=- Banned

    Joined:
    26 Sep 2008
    Messages:
    21
    Likes Received:
    3
    Reputations:
    0
    У меня вопрос... Как добавить в таблицу импорта свою API функцию...и как узнать
    сколько в секций свободного места и по какому адресу...
     
  6. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    915
    Likes Received:
    274
    Reputations:
    59
    Вы хотели сказать не свою а чужую (из другой библиотеки).
    Используйте CFF Explorer, там есть удобная функция добавления импорта.
    Открыть PE редактором любым и посмотреть конец секции, разве это сложно? Если непонятно то читать до посинения документацию по формату PE
     
  7. -=Nicon=-

    -=Nicon=- Banned

    Joined:
    26 Sep 2008
    Messages:
    21
    Likes Received:
    3
    Reputations:
    0
    Спасибо за ответ neprovad, я и так, сейчас читаю документацию по формату PE.
    И ни как не магу понять...

    Приважу цитату с сайта wasam....
    Как Вы уже знаете, в начале PE-файла идёт PE-заголовок. Между окончанием таблицы секции и первой секцией есть промежуток. Этот промежуток появляется из-за файлового выравнивания выравнивания (значение FileAlignment в файловом заголовке). Туда мы можем впихнуть исполняемый вредоносный код.

    У меня вопрос №2...Что или от чего, надо отнять, чтобы можно было узнать, адрес свободного промежутка...
     
  8. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    915
    Likes Received:
    274
    Reputations:
    59
    Обычно нет смысла что-то из чего-то вычитать. Все видно "на глаз" Если же так хочется посчитать, то, например,
    размер неиспользованый=offset первой секции-смещение у флагов последней секции+4.
    А вообще - практика и всё встанет на свои места.
     
  9. tekton

    tekton Elder - Старейшина

    Joined:
    2 Jun 2008
    Messages:
    73
    Likes Received:
    3
    Reputations:
    0
    Как сделать активным пункт меню? >>>ССЫЛКА на ролик<<< :confused:

    P.S. Строку в меню добавил я сам, т.е. её там раньше не было! Но эта строка не активна!

    Надо открыть окно, которое находится в ресурсах.
    Знаю, что окно надо открыть через функцию в коде например через MessagaBox

    Code:
    PUSH    Style = 
    Title =   PUSH адрес строки <<< Заголовок окна
    Text =   PUSH адрес строки <<< текст  окна
    PUSHh  Owner
    MessageBoxA  <<<  Call адрес функции  MessageBoxA
    
    Как правильно передать значения в функцию, чтоб открывалось именно моё окно? И закрывалось тоже? ;) С помощью кнопки "Ок" ?

    Что такое Style = и hOwner ?
     
    #269 tekton, 22 Nov 2008
    Last edited: 23 Nov 2008
  10. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,266
    Likes Received:
    542
    Reputations:
    445
    ResourseExplorer ResourceHacker Restorator
    если прога пакована, то сна4ала распаковываем
     
  11. victim1

    victim1 New Member

    Joined:
    24 Nov 2008
    Messages:
    3
    Likes Received:
    0
    Reputations:
    0
    доброго дня гуру реверсинга ! помогите плз.

    есть скомпиленный в линуксе файлик:

    file name.i686
    name.i686: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), for GNU/Linux 2.6.9, dynamically linked (uses shared libs), stripped


    нужно в нём найти и просто изменить на большее значение константу. каким образом это сделать?? спасибо.
     
  12. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    915
    Likes Received:
    274
    Reputations:
    59
    шестнадцатеричным редактором по идее, умеющим искать значения hex или простые текстовые
     
  13. victim1

    victim1 New Member

    Joined:
    24 Nov 2008
    Messages:
    3
    Likes Received:
    0
    Reputations:
    0
    но ведь названия константы нету... я знаю только что она в исходнике такая:

    #define CWS_NETMSGSIZE 240
     
  14. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,266
    Likes Received:
    542
    Reputations:
    445
    отдизассмит в иде, там произвести поиск по hex value 0xF0. когда найдет, запомнить смещение в файле, далее подменить на хоть 0xFF (или 00 00 00 F0 -> FF FF FF FF, соотвественно, если константа DWORD)
     
  15. GlOFF

    GlOFF Elder - Старейшина

    Joined:
    8 May 2006
    Messages:
    695
    Likes Received:
    484
    Reputations:
    4
    Подскажите чем отлаживать дрова (.sys) Есть что-нибудь интерактивное, типо ольки?
     
  16. victim1

    victim1 New Member

    Joined:
    24 Nov 2008
    Messages:
    3
    Likes Received:
    0
    Reputations:
    0
    спасибо конечно, но там эти 0xF0 немеренно :( куда рыть? смотрю через objdump в linuxе
     
  17. 0x0c0de

    0x0c0de Elder - Старейшина

    Joined:
    25 May 2007
    Messages:
    441
    Likes Received:
    395
    Reputations:
    297
    2GlOFF Syser Debugger
     
    1 person likes this.
  18. Namelles One

    Namelles One Elder - Старейшина

    Joined:
    8 Jul 2005
    Messages:
    44
    Likes Received:
    14
    Reputations:
    19
    GlOFF
    WinDBG - и никаких гвоздей. Прекрасно работает.
     
    1 person likes this.
  19. 0verbreaK

    0verbreaK Elder - Старейшина

    Joined:
    30 Apr 2008
    Messages:
    320
    Likes Received:
    42
    Reputations:
    -3
    Посоветуйте нормальный рипер кода (на подобие TMG Ripper ) если он не единственный
     
  20. delay(0)

    delay(0) Member

    Joined:
    22 Nov 2006
    Messages:
    97
    Likes Received:
    41
    Reputations:
    6
    Чтобы такого почитать про восстановление IAT, IAT как таковую, и прицип её работы?
    Про нахождение OEP тоже не помешает.
    PS: васм читал, надо что-то ещё...
     
Loading...