VPF::Реализация антиотладочного кода

Mixail

Дата 15.1.2005, 13:34 (ссылка)

(голосов: 0)

Загрузка ...

Unregistered

Подскажите, какими командами в Hiew сделать следующее:

заталкиваем в стек адрес старой точки входа, заталкиваем указатель на предыдущий обработчик (он лежит в двойном слове по адресу FS:[0]) и регистрируем свой обработчик установкой FS:[0] на вершину стека. Затем возбуждаем исключение, например, порываемся делить на ноль, выполняем несуществующую машинную команду или обращаемся к несуществующему/защищенному адресу памяти (скажем, лезем в ядро).

Хочу проверить на прочность эмулятор.

oleg1973

Дата 15.1.2005, 20:53 (ссылка)

(нет голосов)

Загрузка ...

asm fanat

Профиль
Группа: Экс. модератор
Сообщений: 3283
Регистрация: 16.7.2003
Где: Italy

Репутация: нет
Всего: 34

нунуну
еще один вирусописатель нашелся smile

--------------------

SST 465555
icq 200-512-712

Chingachguk

Дата 16.1.2005, 10:37 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Участник Клуба
Сообщений: 1232
Регистрация: 25.3.2002
Где: Москва

Репутация: 11
Всего: 18

Почему в hiew ?...

Ну вот примерный код создания нового обработчика с сохранением старого:

Код


; install new seh
    assume fs: nothing
    push offset SEHproc
    push fs:[0]
    mov fs:[0], esp

; crash code
    xor eax, eax
    mov eax, [eax]

ext:

; restore previous SEH
    mov eax, [esp] 
    mov fs:[0], eax
    add esp, 8
    ret

SEHproc proc C uses edx pExcept: dword, pFrame: dword, pContext: dword, pDispatch: dword
    mov edx, pContext

; Возврат на команду после команды исключения
    mov (CONTEXT ptr [edx]).regEip, offset ext

    mov eax, ExceptionContinueExecution
    ret
SEHproc endp

--------------------

I don't like the drugs (but the drugs like me). M.Manson.

oleg1973

Дата 16.1.2005, 13:42 (ссылка)

(нет голосов)

Загрузка ...

asm fanat

Профиль
Группа: Экс. модератор
Сообщений: 3283
Регистрация: 16.7.2003
Где: Italy

Репутация: нет
Всего: 34

Chingachguk
а шас обьясню почему Hiew smile

у него скомпиленный ехе
ему нада изменить entry point и немнога кода в надежде изменить сигнатуру файла
а seh для обхода эмулятора (эвристика) вот и все smile

--------------------

SST 465555
icq 200-512-712

Mixail

Дата 16.1.2005, 16:00 (ссылка)

(голосов: 0)

Загрузка ...

Unregistered

Большое спасибо!

Chingachguk

Дата 16.1.2005, 19:19 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Участник Клуба
Сообщений: 1232
Регистрация: 25.3.2002
Где: Москва

Репутация: 11
Всего: 18

oleg1973

Я все едино не понял. Если (допустим !) у него есть незараженный носитель (первый ?), то его алгоритм должен уметь с ним работать (с любым носителем или классом носителей - неважно), те копироваться в другой носитель, и вручную копировать ничего не нужно, естественно.

--------------------

I don't like the drugs (but the drugs like me). M.Manson.

oleg1973

Дата 16.1.2005, 19:50 (ссылка)

(нет голосов)

Загрузка ...

asm fanat

Профиль
Группа: Экс. модератор
Сообщений: 3283
Регистрация: 16.7.2003
Где: Italy

Репутация: нет
Всего: 34

Chingachguk
в данном случае не о вирусе а о трояне видимо разговор
у него есть к примеру Pinch (троян такой в определенных кругах известный)
его палят в данный момент все АВП
но если мы его немнога модифицируем то все пойдет как по маслу smile

--------------------

SST 465555
icq 200-512-712

Chingachguk

Дата 17.1.2005, 12:26 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Участник Клуба
Сообщений: 1232
Регистрация: 25.3.2002
Где: Москва

Репутация: 11
Всего: 18

Те у него есть тока экзешник трояна (предположительно) ? Тогда согласен.

--------------------

I don't like the drugs (but the drugs like me). M.Manson.

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| Asm для начинающих \| Следующая тема »