Легенда:
 новое сообщение
 закрытая нитка
 новое сообщение
 в закрытой нитке
 старое сообщение
|
- Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
- Новичкам также крайне полезно ознакомиться с данным документом.
Можно менять шаблон, а можно и передавать вместе с кодом... 11.03.06 03:01 Число просмотров: 2660
Автор: amirul <Serge> Статус: The Elderman
|
> Что вы думаете по этому поводу?
Можно менять шаблон, а можно и передавать вместе с кодом структуру. Смещение этой структуры относительно конкретной инструкции (чаще всего начала) - полностью на совести программиста, а получить свой адрес проще простого:
call get_addr
get_addr:
pop eax
---
> (Я понимаю что kernel32.dll не гарантрированно загружается
> в одно и то же место... но у меня 100% случаев передача
> адресов из kernel32.dll между процессами нормально
> работало)
А ты попробуй скомпилять экзешник (свой или жертвы - не важно) по preferred-базе кернела32 и наслаждайся крахом. Нельзя надеяться на то, что на самом деле происходит не всегда.
Если уж так сильно не хочется проходить по таблице экспортов (на самом деле это очень легко), то скорее всего так как сам модуль kernel32 остается неизменным, то лучше найти (во внедряющем процессе) смещение нужных функций относительно начала модуля, а в процессе жертве найти этот модуль и прибавить смещение.
Поиск модуля не такое уж сложное дело. В сегменте fs любого потока в пользовательском режиме находится TEB, который как известно начинается с NT_TIB, который в свою очередь по смещению 0x18 содержит поле Self - FLAT адрес начала этой структуры. Таким образом код
PTEB teb;
__asm mov eax, fs:0x18
__asm mov teb, eax
---
занесет в переменную teb указатель на TEB текущего потока.
А teb->ProcessEnvironmentBlock->Ldr->InLoadOrderModuleList содержит голову списка из nt!_LDR_DATA_TABLE_ENTRY-ей, соответствующих загруженным в текущий процесс модулям. Найти kernel32 по имени и получить его базовый адрес - тривиальная задача, не требующая вызова никаких библиотечных функций.
|
|
|
подробно о проекте
Анализ криптографических сетевых...
Можно менять шаблон, а можно и передавать вместе с кодом... - amirul