Нужен совет...

Discussion in 'Реверсинг' started by HackerOK, 31 Oct 2008.

Thread Status:
Not open for further replies.
  1. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Вобщем так.
    Есть программа, доступ к ней по логину/пасу.(читает с сервера)
    Значит сама программа представляет из себя downloader тоесть получаю доступ, жму кнопку, программа(в моём случае) грузит с сервера .dllку и инжектит в процесс.

    Цель: отловить эту .dllку и сохранить на хард.
    Вобщем нужен совет что можно и как нужно делать :)
     
    #1 HackerOK, 31 Oct 2008
    Last edited: 31 Oct 2008
  2. 0x0c0de

    0x0c0de Elder - Старейшина

    Joined:
    25 May 2007
    Messages:
    441
    Likes Received:
    395
    Reputations:
    297
    загружаешь прогу в дебаггер. ставишь бряк на CreateFileW (WriteFile, CloseHandle) -> смотришь куда сохраняется. а дальше делай с ней что хочешь (dll, в смысле)

    или чтобы отследить процесс загрузки этого всего можно поставить bp на сетевые функции вроде recv, URLDownloadToFileW и InternetReadFile
     
    #2 0x0c0de, 31 Oct 2008
    Last edited: 31 Oct 2008
  3. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Тут такая проблемка с дебаггером...прога запакована Themid'ой и olly просто вылетает..
    Какой можно использовать в этом случае ? (UnThemida не распаковывает)
     
  4. 0x0c0de

    0x0c0de Elder - Старейшина

    Joined:
    25 May 2007
    Messages:
    441
    Likes Received:
    395
    Reputations:
    297
    Заюзать модификацию ольги, включить плаги, и все будет отлаживаться

    например

    http://reversengineering.wordpress.com/2008/09/07/ollydbg-mod-4-execryptor-themida/
     
  5. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Большое спасибо, буду пробовать :)
     
  6. FrMn

    FrMn Elder - Старейшина

    Joined:
    8 Aug 2008
    Messages:
    51
    Likes Received:
    16
    Reputations:
    7
    снифнуть трафик можт легче?
     
  7. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    или сдампить с памяти уже заинжек4еную либу
     
  8. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Какой софт нужен для первого и второго варианта ?
     
  9. winterfrost

    winterfrost Elder - Старейшина

    Joined:
    18 Aug 2008
    Messages:
    42
    Likes Received:
    18
    Reputations:
    15
    А что если никуда не сохраняеться? Ведь нигде не сказанно что она сохраняеться на жёский диск? Можно же из памяти загрузить?
    Я в этом не очень разбираюсь, так что сорри если ошибся.

    Сдампить можно например PE Tools используя (процесс свой найдёш, и посмотриш список загдуженных dll'ок), али каким отладчиком, скорей всего ядерным, раз олька не подошла (например WinDbg).

    А ещё можно используя Process Monitor (http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx) посмотреть куда dll сохраняеться, если, конечно, она всё-таки сохраняеться на диск.
     
  10. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Вобщем не смог я dll.ку найти...названия я её не знаю а в процессе больше 100 их...как можно сравнить процесс до внедрения и после (ручками не прокатывает, даже порядок разный)
     
  11. 12usver12

    12usver12 Elder - Старейшина

    Joined:
    12 Dec 2007
    Messages:
    50
    Likes Received:
    9
    Reputations:
    0
    используй прогу procmon от sysinternals, там очень удобные фильтры в ней,
    ну и используй для начала любой http снифер
     
  12. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Большое спасибо, отловил я эту dll.ку сниффером но к сожалению инжектится она не хочет :( толи при скачивание побилась толи ещё что :(

    edit:
    Проверил, повторно скачал - всё тоже самое "образ не является чемто или чтото там такое"

    edit2:
    dll.ки в лоадере и в процессе куда она по идее инжектится не обнаружено :(
     
    #12 HackerOK, 2 Nov 2008
    Last edited: 2 Nov 2008
  13. FrMn

    FrMn Elder - Старейшина

    Joined:
    8 Aug 2008
    Messages:
    51
    Likes Received:
    16
    Reputations:
    7
    возможно прога качает не полностью либу, а, например, либу без заголовков.. или с заголовками, которые хавает лоадер проги, но не хавает лоадер виндов.
     
  14. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Можно ли чтото сделать в данном случае ?
    И ещё вопрос на засыпку так сказать ) если я сопру страницу логина вместе с базой и поставлю её на свой хост то можно как нибудь запрос редеректнуть на мой хост ? (с другой стороны если есть база то зачем чтото ещё делать ?)) но есть свои причины)
     
  15. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    если есть бинарь, который шлет запрос и скрипты, которые отдают - то можно
     
  16. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    Ну ладно, я пока не сдался и буду мучить этот файл :)
    Попробовал открыть PE Explorer'ом...он выдал:

    edit:
    Windbg не берёт
    Olly с плагинами местами оставляет "???" вместо функций.
     
    #16 HackerOK, 2 Nov 2008
    Last edited: 2 Nov 2008
  17. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    900
    Likes Received:
    274
    Reputations:
    59
    Выложи dll и тогда точно можно будет сказать, тут телепатов нет
     
  18. HackerOK

    HackerOK Elder - Старейшина

    Joined:
    20 May 2008
    Messages:
    33
    Likes Received:
    1
    Reputations:
    0
    _http://ifolder.ru/8906412
    Вот она
     
  19. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    900
    Likes Received:
    274
    Reputations:
    59
    This is NOT EXE or DLL File! Processing cancelled.
    Выше сами и дали ответ на свой вопрос. Файл не является библиотекой, так как напрочь отсутсвуют заголовки PE да и вообще что-либо похожее на код. Это тупо кусок мусора.
     
  20. Dian

    Dian Elder - Старейшина

    Joined:
    2 Sep 2008
    Messages:
    57
    Likes Received:
    11
    Reputations:
    4
    После дампа иногда надо реконструировать импорты и экспорты,
    далеко не все дамперы это делают автоматтом
     
Loading...
Thread Status:
Not open for further replies.