вызов функций

[Demion]

Сообщение от maxilam

Demion, дополнил ответом свой предыдущий пост

Спасибо конечно, но по-моему суть не в этом. Я сам то знаю как получить параметры функции и как расшифровать ее название. Дело в том, что только декорированного вида никак не хватает, для работы с функцией. А как ее расшифровывать не важно. В данном случае, ты расшифровываешь с помощью IDA. Можно с помощью undname или WinAPI.

[maxilam]

Сообщение от Demion

декорированного вида никак не хватает, для работы с функцией

я не знаю как там в ассемблере, но в дельфях этого хватает сполна.
увы, тогда я тут уже не помощник )))

[Demion]

Сообщение от maxilam

я не знаю как там в ассемблере, но в дельфях этого хватает сполна.
увы, тогда я тут уже не помощник )))

Что-то мы о разных вещах говорим. Под "работы с функцией" я подразумевал, что чтобы вызывать функцию, нужно знать ее параметры. А чтобы знать ее параметры, нужно расшифровать ее название до нормального вида. Из этого вывод, что только декорированного вида для работы не хватает.

В любом случае, заканчиваю этот "флуд".

[St1mul]

maxilam, у тебя какая IDA?
проблема в том, что во в вкладке View A левые байты
залей твой engine.dll сюда если не сложно, и ссылку на твою IDA

Попробую по другому написать рукописную программу считывающую байты с адресса функции и потом записывающую в txt файл

[mira]

Сообщение от St1mul

Я бросил уже затею с получением потока.
ThreadID можно получить с помощью WinSpy (в атаче ) Переводим из 16ричной системы в 10 и записываем в екзешник в константу ThreadId

очень умно задавать переменную ядра ОС как константу

Добавлено через 5 минут

Сообщение от maxilam

так и есть. но этого достаточно для работы с ними.
[code]

Сразу видно что в качестве параметра нужно передать указатель на L2ParamStack. А что там выполняется с ним дальше, для написания бота знать не обязательно

Вкладка IDA View-A, откуда и берем декорированое имя функции для импорта в нашу длл
Вложение 2793

там почти все функции принимают единственный агрумент - парамстек) это чето типа класса-обертки для массива параметров.

[maxilam]

engine.dll с текущих хроник руоффа (как есть, без какой либо дешифрации, без снятия защиты, порчи, сглаза, приворота и еще чего там иннова вешает на свои файлы )
http://rghost.ru/43019527

ida скачана с торрентов, уже не помню точно откуда

[Guzh]

Зачем искать где-то распакованные дллки, если можно просто снять дамп уже распакованного в памяти библиотеки. Я так всегда делаю.

[St1mul]

Зачем искать где-то распакованные дллки, если можно просто снять дамп уже распакованного в памяти библиотеки. Я так всегда делаю.

а IAT вы как простите хотите востанавливать?

[Guzh]

А зачем его восстанавливать? Для изучения работы длл хватает и того что есть, ведь дамп сделан для изучения дллки,а не изменения с последующей заменой. IDA со всем справляется,главное задать ему адрес в который была загружена дллка. Правда с импортируемыми функциями немного сложнее будет - ручками придется изменять/добавлять названия

[St1mul]

Неужели заработало
Приношу свои извенения Guzh, не поверил, что IDA может анализировать нерабочую dll