Посмотреть экспортируемую функцию любого загруженного модуля можно без лишних извратов и левых тулз, а только средствами Delphi, например, так:


Или через родной дизассемблер Delphi путём вызова интересующей ф-ции, например:


Поставив breakpoint и остановившись на нём, жмём Ctr+Alt+C, чтобы попасть в окно CPU встроенного отладчика:


Далее просто трассируем по F7, пока не попадем в системную библиотеку:

"без лишних извратов и левых тулз" ты увидишь уже похуканный код. "левые тулзы" же показывают оригинальный код.

Все избавился , от этого зверя , с танцами и бубнами, 
и в безопасном режиме + коммандная строка, удалось залезть в реестр и все поправить 
Тема закрыта  Всем еще раз сенкс 

Ты ошибаешься, я увижу то, что захочу увидеть  , запишу в любой процесс, в т.ч. системный (не говоря уже о DLL) то что захочу, и, как я уже раньше говорил, "без лишних извратов и левых тулз". Просто вообще-то это форум по программированию в Delphi, а не по реверсу, так что хью, петулз и лордпе вроде здесь как не к месту. Ну, и чтобы не оффтоп, в заключении приведу небольшой примерчик только на чтение ф-ции из памяти и соответствующую ей из файла с диска:


Понятно что всё можно автоматизировать и усовершенствовать, это для наглядности, выведет информацию в таком виде:



Это сообщение отредактировал(а) RideX - 4.9.2006, 22:46

RideX, а в чужом процессе можно ли как то поменять адресса вызовов ф-ций?

Вызов одной API заменить на другую? В принципе можно изменить абсолютно всё, даже константы (пример кода недавно давал),  только делать это нужно внимательно, так при подмене API функции не забывать передавать ей "новые", правильные параметры, помнить о типе возвращаемого значения, если оно используется, следить чтобы код "не поломался", т.е. чтобы, например, "старая", но нужная инструкция процессора не "разорвалась".

это понятно , я имел ввиду, есть хукнутая ф-ция, как мне взяв ее реальный адресс из файла , и поменять на реальный , а не хукнутый? допустим в regedit

RideX,
- можно взять клещи или гвоздодер и выдернуть гвоздь.
- изврат, левые тулзы! можно взять микроскоп и в лучшем виде рассмотреть гвоздь!
- пардон, но...
- вы ошибаетесь! возму вот микроскоп, скую мини-девайс для извлечения гвоздей. и вообще, я все могу.


время, потраченное на анализ такого рода ситуации с помощью подручных средств, отличается от времени, потраченного на разработку какого-либо своего средства, на порядки. а если сдампить захочу по ходу, подебажить, пофиксить? 

а сэмпл добротный.

в данном случае отличаются не адреса(Romikgy - реальный программер! только почему тогда с одной "д"? ;)) а содержимое функций: в начало "правильной" функции вписывается переход на "подставную". т.е. чтобы убрать хук, достаточно заменить код перехода на считанные из файла оригинальные байтики. так как адресные пространства процессов изолированы, сие действо нужно совершать "изнутри" каждого процесса. проще всего, наверное, будет поставить глобальный хук(например WH_CBT) и реализовать код "восстановления" в dll нашего хука. к тому же получаем бонус в виде возможности довольно часто проверять наши восстановленные функции(лучше после CallNextHookEx, на случай если "зараза" тоже восстанавливается при вызове WH_CBT).

кстати, если уж так залезли в эту тему, интересно - как именно реализована подгрузка у этой "заразы". просто есть подозрение, что в режиме командной строки регедит остался бы нетронутым...

Я имел ввиду адреса прыжков на ф-ции

Romikgy, пример:
было:


стало:


тут не нужно менять адрес перехода(jmp), надо сам переход заменять на то, что было.

 В самом .ехе у тебя вообще ничего не изменяется. Все изменения только в загруженой в память DLL, но адреса функций, как уже сказал dumb, всё равно не изменяются, они так и остаются "реальными". Изменяется само содержимое ф-ции, вот его ты и можешь взять из файла и сравнить с тем, что в памяти. Как найти и рассчитать внутрифайловое смещение функции - в коде выше. Чтобы записать код из файла в системную DLL, возьми для своего процесса привилегии отладчика (SeDebugPrivilege) чтобы открыть процесс на запись. После WriteProcessMemory проверяй на GetLastError и в случае необходимости поставь доступ к странице памяти PAGE_EXECUTE_READWRITE, потом вернёшь обратно.


 Всё, сдаюсь!   


Да, возможно, скорее всего ловит процесс через создание окна, хуком на HSHELL_WINDOWCREATED, и в реализации не сложно.

dumb, не видел что ты только что уже написал   

Это сообщение отредактировал(а) RideX - 5.9.2006, 12:10

это после хука такое?

Это сообщение отредактировал(а) Romikgy - 5.9.2006, 13:11

Да, именно, хотя возможен вариант с push/ret


Вот, к примеру, похуканый MessageBox может выглядеть так:


Как видишь первые шесть байт кода в памяти, отличаются от того что в файле, т.е. ,без дизассемблера понятно, что фактически в памяти имеем переход "куда-то там..." по адресу 00B136BCh


P.S. Вообще чтобы не перекомпилить каждый раз код, который я приводил, кинь на форму два TEdit, один для имени DLL, второй для имени ф-ции, конечно если ты уже не сделал TMemo/TStringList с целым списком функций для проверки