Вернуться   CoderX :: Forums > Основные форумы > Программинг
Войти через OpenID

Программинг Форум для тем связанных с программированием

Чат (Новых сообщений с момента вашего последнего визита нет)
Загрузка...
Задавайте ваши вопросы на форуме. Чат предназначен для небольших разговоров.
 
Ответ
 
Опции темы Опции просмотра
Старый 20.04.2011, 23:24   #11
Рыцарь
 
Аватар для alexteam
 
Регистрация: 07.03.2009
Сообщений: 9,139
Сказал Спасибо: 70
Имеет 2,820 спасибок в 1,735 сообщенях
alexteam на пути к лучшему
По умолчанию

Цитата:
имена приложений и т д)))
Х_х
__________________
L2Ext - project closed.
alexteam вне форума   Ответить с цитированием
Старый 03.05.2011, 10:20   #12
Местный
 
Регистрация: 10.08.2010
Сообщений: 634
Сказал Спасибо: 22
Имеет 95 спасибок в 70 сообщенях
mira пока неопределено
По умолчанию

Вощем тут возникла задачка заменить хвид. Промониторил клиент - читаютса хвиды ряда железок и имя машины из реестра. Перехватил RegQueryValueEx и о горе, в перехваченых вызовах нет этих запросов RegQueryValue в итоге всеравно вызывает RegQueryValueEx

Добавлено через 7 минут
Драйвера там нет. Какже они читают в обход этой апи? Юзать какоенить zwQueryKey с их стороны было бы глупо не говоря про int 2e - риск несовместимости с сервиспаками и осями слишком велик.
Читал про темиду что важные рутины она както защищает от враппинга и перехвата. Нет ли у каво инфы насчет этого?
хотя сомневаюсь что мне чето подскажут посуществу =/
__________________
читернуть бы ништяг

Последний раз редактировалось mira, 03.05.2011 в 10:20. Причина: Добавлено сообщение
mira вне форума   Ответить с цитированием
Старый 03.05.2011, 12:30   #13
Рыцарь
 
Аватар для destructor
 
Регистрация: 26.06.2009
Сообщений: 2,433
Сказал Спасибо: 154
Имеет 692 спасибок в 426 сообщенях
destructor на пути к лучшему
По умолчанию

перепрыгивают твой хук? не?

Добавлено через 4 минуты
Цитата:
Сообщение от mira Посмотреть сообщение
зать какоенить zwQueryKey с их стороны было бы
данунах.

Добавлено через 17 минут
Цитата:
Сообщение от mira Посмотреть сообщение
Читал про темиду что важные рутины она както защищает от враппинга и перехвата.
тоже "перепрыгивает".
но тут, если ты ставишь хуки до загрузки запакованного модуля , все будет нормально.
__________________
Шожиделать.. ботить хочется..

Последний раз редактировалось destructor, 03.05.2011 в 12:30. Причина: Добавлено сообщение
destructor вне форума   Ответить с цитированием
Старый 03.05.2011, 13:16   #14
Местный
 
Регистрация: 10.08.2010
Сообщений: 634
Сказал Спасибо: 22
Имеет 95 спасибок в 70 сообщенях
mira пока неопределено
По умолчанию

Думаеш они вызывают функцию не с начала предполагая что там может стоять заплатка? Я просто не перехватывал неразу реестр и хз где захучить. Как я понимаю все чтения даных ключей сводятса к zwquery, та ваще нече не делает. Тупо ложит в еах номер системного шлюза и вызывает инт2е и востанавливает стек =/
хукнул ее сплайсом но увы вызовов оказалось значительно менше чем то что увидел монитор реестра со стороны клиента
__________________
читернуть бы ништяг
mira вне форума   Ответить с цитированием
Старый 03.05.2011, 13:34   #15
Рыцарь
 
Аватар для destructor
 
Регистрация: 26.06.2009
Сообщений: 2,433
Сказал Спасибо: 154
Имеет 692 спасибок в 426 сообщенях
destructor на пути к лучшему
По умолчанию

Цитата:
Сообщение от mira Посмотреть сообщение
Как я понимаю все чтения даных ключей сводятса к zwquery
точно хз, но помоему там чтото еще
__________________
Шожиделать.. ботить хочется..
destructor вне форума   Ответить с цитированием
Старый 03.05.2011, 14:16   #16
Местный
 
Регистрация: 10.08.2010
Сообщений: 634
Сказал Спасибо: 22
Имеет 95 спасибок в 70 сообщенях
mira пока неопределено
По умолчанию

Блин инфы мало по тому как достать входные параметры zw..
Сделал джам к себе, там
mov eax, esp
syscall=stdcall
значит в [eax+0] по [eax+5] должны быть входные параметры или мб с [eax+1] если учесть еще адрес возврата. Одним из параметров являетса valuename : pwidechar но вот в стеке ниче похожего на юникод-строку не оказалось. Параметры вроде похожи на ожидаемые, но что мля со строкой там какоет гавно а не чары по адресу
__________________
читернуть бы ништяг
mira вне форума   Ответить с цитированием
Старый 03.05.2011, 14:45   #17
Рыцарь
 
Аватар для destructor
 
Регистрация: 26.06.2009
Сообщений: 2,433
Сказал Спасибо: 154
Имеет 692 спасибок в 426 сообщенях
destructor на пути к лучшему
По умолчанию

Цитата:
Сообщение от mira Посмотреть сообщение
Блин инфы мало по тому как достать входные параметры zw..

это обычные __stdcall функции.

http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx

Добавлено через 4 минуты
только винда юзает Nt.... надо их и ловить.
защита может заюзать Zw... и возможно их тоже придется ловить

+не забывай на случай протектора:
Цитата:
Сообщение от destructor Посмотреть сообщение
если ты ставишь хуки до загрузки запакованного модуля, все будет нормально.
__________________
Шожиделать.. ботить хочется..

Последний раз редактировалось destructor, 03.05.2011 в 14:45. Причина: Добавлено сообщение
destructor вне форума   Ответить с цитированием
Старый 03.05.2011, 15:14   #18
Местный
 
Регистрация: 10.08.2010
Сообщений: 634
Сказал Спасибо: 22
Имеет 95 спасибок в 70 сообщенях
mira пока неопределено
По умолчанию

Nt и zw разные экспорты но точка входа в ntdll одна
понял, там нифига не pwidechar а е*учая PUNICODE_STRING структура, чемто похожая на рантаймовский sting делфи.

Добавлено через 5 минут
Про сискалл я и написал что это тотже стдкалл
кстате на этой версии защиты палитса та фишка уже с вмт уже, пришлось отступать на шаг глубже.
__________________
читернуть бы ништяг

Последний раз редактировалось mira, 03.05.2011 в 15:14. Причина: Добавлено сообщение
mira вне форума   Ответить с цитированием
Старый 03.05.2011, 15:19   #19
Рыцарь
 
Аватар для destructor
 
Регистрация: 26.06.2009
Сообщений: 2,433
Сказал Спасибо: 154
Имеет 692 спасибок в 426 сообщенях
destructor на пути к лучшему
По умолчанию

Цитата:
Сообщение от mira Посмотреть сообщение
Nt и zw разные экспорты но точка входа в ntdll одна
а если на вин7 x64 посмотреть?)

Добавлено через 4 минуты
Цитата:
Сообщение от destructor Посмотреть сообщение
а если на вин7 x64 посмотреть?)
сори, туплю, ты прав.
__________________
Шожиделать.. ботить хочется..

Последний раз редактировалось destructor, 03.05.2011 в 15:19. Причина: Добавлено сообщение
destructor вне форума   Ответить с цитированием
Старый 03.05.2011, 19:23   #20
Местный
 
Регистрация: 10.08.2010
Сообщений: 634
Сказал Спасибо: 22
Имеет 95 спасибок в 70 сообщенях
mira пока неопределено
По умолчанию

Да действительно есть еще и рутина zwEnumerateValueKey читающая по индексу значения суб-ключей. Воевать так воевать

Добавлено через 2 часа 50 минут
подменил пока в zwQueryValueKey тока все запросы DeviceInstance

Добавлено через 1 минуту
о чудо первые успехи в клиенте пропал звук )))))))))))))
__________________
читернуть бы ништяг

Последний раз редактировалось mira, 03.05.2011 в 19:23. Причина: Добавлено сообщение
mira вне форума   Ответить с цитированием
Ответ

  CoderX :: Forums > Основные форумы > Программинг



Ваши права в разделе
Вы не можете создавать темы
Вы не можете отвечать на сообщения
Вы не можете прикреплять файлы
Вы не можете редактировать сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.


Часовой пояс GMT +4, время: 03:22.

vBulletin style designed by MSC Team.
Powered by vBulletin® Version 3.6.11
Copyright ©2000 - 2024, Jelsoft Enterprises Ltd. Перевод: zCarot
Locations of visitors to this page
Rambler's Top100

Вы хотите чувствовать себя в безопасности? чоп Белган обеспечит её!