VEHWalk Plugin v0.1

Discussion in 'Реверсинг' started by 0x0c0de, 21 Aug 2008.

  1. 0x0c0de

    0x0c0de Elder - Старейшина

    Joined:
    25 May 2007
    Messages:
    441
    Likes Received:
    395
    Reputations:
    297
    [Description]
    Плагин, позволяющий просмотреть список установленных в программе VEH обработчиков. Достаточно выбрать пункт меню View VEH [щелкнуть правой кнопкой мыши в окне CPU и выбрать в меню этот пункт]
    screen
    http://0x0c0de.net/menu.JPG

    и в окне VEH Handlers появится список установленных VEH обработчиков.

    [Install]
    Копируете VEH_Walker_Plugin.dll в папку с плагинами OllyDbg. Загружаете в отладчик программу VEHDemo. Ставите бряк на адрес 0040106B - как раз тогда будут установлены все обработчики или на функцию ExitProcess и выбираете View VEH. Если все прошло хорошо, то вы увидите адреса 4-х обработчиков в окне VEH Handlers. На них можно ставить бряки [F2] прямо в окне VEH Handlers.

    Скрин
    http://0x0c0de.net/scr.JPG

    Двойной щелчок или клавиша Enter - переход по адресу обработчика

    [Download]
    http://0x0c0de.net/VEHWalk.rar

    *Тестировалось на winxp sp2 и sp3

    (c) 0x0c0de 2008
     
    #1 0x0c0de, 21 Aug 2008
    Last edited: 22 Aug 2008
    3 people like this.
  2. 0verbreaK

    0verbreaK Elder - Старейшина

    Joined:
    30 Apr 2008
    Messages:
    318
    Likes Received:
    42
    Reputations:
    -3
    получил 4 вектора

    Code:
    1 00000000 ???
    2 00000010 ???
    3 00000020 ???
    4 00000030 ???
    Вот адреса только нулевые, Windows XP
     
  3. 0x0c0de

    0x0c0de Elder - Старейшина

    Joined:
    25 May 2007
    Messages:
    441
    Likes Received:
    395
    Reputations:
    297
    Хм, я тестила на WinXP SP3 и SP2 все гуд. SP какой у вас? Так же желательно назвать сборку OllyDbg и используемые плагины.
    При возможности, свяжитесь со мной по осеку.

    -----------Добавлено -----------
    ----------------22.08.08--------------
    Удалите предыдущую версию и установите отладочную. После работы плагина [вызова окна обработчиков] скиньте мне лог [из Log Window Alt+L] между

    --------VEH Walk log----------------

    и

    -------VEH Walk end log------------

    Скачать отладочную

    http://0x0c0de.net/VEH_Walker_Plugin_Debug.dll


    -------------23.08.08-----------------

    В отладочной версии добавлена поддержка XP без какого-либо SP. Опять же, просьба скинуть лог работы при возникновении ошибок [у самой все версии только с сп, поэтому протестировать у себя не могу]

    Спасибо
     
    #3 0x0c0de, 22 Aug 2008
    Last edited: 23 Aug 2008
    2 people like this.
  4. 0verbreaK

    0verbreaK Elder - Старейшина

    Joined:
    30 Apr 2008
    Messages:
    318
    Likes Received:
    42
    Reputations:
    -3
    OS: Windows XP (без SP)
    Debugger: OllyDbg v1.10
    Plugins: 9 штук

    bookmarks
    cmdbar
    cmdline
    HideDebugger
    OllyDump
    TEplus
    VEHWalker
    windowjuggler

    Чуть позже буду тестить дебаг версию, спасибо.
     
  5. 0verbreaK

    0verbreaK Elder - Старейшина

    Joined:
    30 Apr 2008
    Messages:
    318
    Likes Received:
    42
    Reputations:
    -3
    Опа, в дебаг версии все отлично работает.

    Code:
    Number  Handler 	Disassembly
    
    1	00401010	SUB EAX,EAX 
    2	00401000 	PUSH EDI
    3	00401030	SUB ECX,EAX
    4	00401020 	ADD EAX,EAX
    
    
    0x0c0de а почему не копируется из окна просмотра VEH полученные данные, может стоит добавить если существует такая возможность.
     
  6. 0x0c0de

    0x0c0de Elder - Старейшина

    Joined:
    25 May 2007
    Messages:
    441
    Likes Received:
    395
    Reputations:
    297
    >> Опа, в дебаг версии все отлично работает.

    Да, я до 0.2 еще позавчера [раньше?] обновила [весит чуть меньше и работает чуть быстрее]. Просто тут не отписалась, что все перезалито. Еще люди с win xp без сп тестили на др форуме, в выходные [в понедельник?] отрепортили, что все хорошо

    >> 0x0c0de а почему не копируется из окна просмотра VEH полученные данные, может стоит добавить если существует такая возможность.

    Плагин перезалит [там же лежит, где и в первом посте] , ваша просьба выполнена

    можете посмотреть так же версию для immunitydebugger, если вам интересно

    http://0x0c0de.net/imm_veh.rar

    Спасибо.
     
    #6 0x0c0de, 27 Aug 2008
    Last edited: 27 Aug 2008
Loading...
Similar Threads - VEHWalk Plugin
  1. Грот
    Replies:
    3
    Views:
    2,887
  2. 0x0c0de
    Replies:
    8
    Views:
    4,771