Форум на Исходниках.RU https://forum.sources.ru Форум на Исходниках.RU Форум на Исходниках.RU https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1092040 Fri, 28 Apr 2006 12:13:16 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1092040
    .486p
    .model flat
     
    extrn ExitProcess:proc
     
    .data
     
    vrs:
      mov ebx,[esp]    ;возьмем из стека адрес Kernel`а
      xor bx,bx        ;и найдем его начало
     
    next_block:
      cmp word ptr [ebx],'ZM'  ;начало?
      je  found_MZ             ; угу!
      sub ebx,1000h            ; ищем дальше
      jmp next_block
     
    found_MZ:
      mov  edx,ebx                ;сохраним указатель
      mov edi,dword ptr [ebx+3Ch] ;адрес РЕ заголовка
      add edi,edx                 ;+ адрес Kernel`а
      cmp word ptr [edi],'EP'     ;проверка на РЕ
      jmp Exit                    ;не равно-выходим
      mov 4 ptr [KrnAddr],edx     ;сохраним базовый адрес Kernel`а
     
    Exit:
      jmp fin
      KrnAddr dd 0
     
    .code
    start:
      jmp vrs
     
    fin:
      push 0
     
      call ExitProcess
    end start
]]> Алиса Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1085424 Fri, 21 Apr 2006 19:17:41 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1085424 ProgramMan Согласись если захотеть можно все!
а со своими вопросами я разобрался ;)]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1083488 Thu, 20 Apr 2006 09:13:01 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1083488
M

Демо,Arazel, вы отдалились от темы.

]]> ProgramMan Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1083185 Thu, 20 Apr 2006 06:34:28 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1083185 Цитата Arazel @
Демо Технический можно.


Да? И как?

Добавлено
Спустись на землю и выпусти воздух.]]> Демо Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1083081 Thu, 20 Apr 2006 05:06:00 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1083081 Демо Технический можно.]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1082909 Wed, 19 Apr 2006 20:20:46 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1082909 Цитата Arazel @
Действительно я могу создать вирус размером 2.0kb


Можно привести алгоритм написания такого вируса на FoxPro2.6 хотя бы весьма приблизительно?]]> Демо Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1080564 Tue, 18 Apr 2006 03:23:04 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1080564 Ct757

Есть одни маленькие детали…
1) Я не занимаюсь созданием вирусов
a) Если я знаю Ассемблер и тонкость самого ядра
это не значит, что я собираюсь создавать
мощные вредоносные программы!

b) Если у меня есть право модифицировать чужое
приложение! это не значит, что собираюсь с помощью
этого приложение уничтожить другие,
в том числе информацию…

2) Действительно я могу создать вирус размером 2.0kb (Max)не зависимо, на каком языке (Хоть сам DELPHI) и которая
будет выполнять очень многое действий.
Но! Во первых таких подобных программ очень много!
и я от этого не чего не получаю!
Во вторых я не хочу просидеть со стенкой.
И в третьих это грех! (Тоже самое про Хакеров)

3) Я создаю очень не обычную программу!]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079729 Mon, 17 Apr 2006 09:29:38 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079729 Цитата Arazel @
Создать программу которая будет брать на себя очень многое...
но при этом получить маленькую размером программу
учитывая оптимальность.

Использовав как можно больше логического вычисление
и как можно меньше переменных.

Вирусы писать - нехорошо ;)]]> Ct757 Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079305 Sun, 16 Apr 2006 22:46:27 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079305 Цитата Ct757 @
Это с каких пор?

И правда ..., с чем я мог перепутать? :huh:
Я помню что что-то переходит от версии к версии и не меняется.]]> Monty Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079214 Sun, 16 Apr 2006 19:36:46 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079214 Цитата Ct757 @
самопальный хэш-алгоритм

Ну прям, сейчас я буду создовать настоящий CRC32 а может ещё MD5
или вообще GOST :D


Примерно такую... Но естественно мой код в три раза меньше :)

    format PE GUI 4.0
    include '%fasminc%\win32a.inc'
     
    ;;GetKernel procedure
        ; GetKernel procedure
        mov eax, [fs:30h]                  ; ptr 2 РЕВ
        test    eax, eax
        js  @F                     ; if we R on 9x - jmp @F
     
        mov eax, [eax + 12]                ; ptr 2 PEB_LDR_DATA
        mov esi, [eax + 28]                ; ptr 2 InitializationOrderModuleList
        lodsd
        mov eax, [eax + 8]                 ; eax -> VA kernel32.dll
        jmp @skip
     
      @@:   mov eax, [eax + 52]
        mov eax, [eax + 184]
     
          @skip:
        call    GetFunctions
    ;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
        invoke  LoadLibrary, szUser32
        call    GetFunctions
        xor ebx, ebx
        invoke  MessageBox, ebx, szMessage, szCaption, MB_ICONINFORMATION + MB_OK
        invoke  ExitProcess, ebx
    ;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
          GetFunctions:
        xchg    eax, ebx
        ; Search for API
        mov edx, [ebx + 3ch]               ; PE
        mov esi, [ebx + edx + 78h]             ; Export Table RVA
        lea esi, [ebx + esi + 18h]             ; Export Table VA+18h
        lodsd
        xchg    eax, ecx                   ; NumberOfNames
        lodsd                          ; AddressOfFunctions
        push    eax
        lodsd                          ; AddressOfNames
        add eax, ebx
        xchg    eax, edx
        lodsd                          ; AddressOfNameOrdinals
        add eax, ebx
        push    eax
        mov esi, edx
     
          search_api_name:
        lodsd
        add eax, ebx                   ; eax points to the name of function
        ; Calc function name hash
        xor edx, edx                   ; edx == 0, coz it'll contain hash
     
          calc_hash:
        rol edx, 3
        xor dl, byte [eax]                 ; xor dl with current character
        inc eax                    ; character shift
        cmp byte [eax], 0                  ; is we in the end of chain?
        jnz calc_hash
        ; Get offset to ordinal
        mov eax, [esp]                 ; AddressOfNameOrdinals
        add dword [esp], 2                 ; Move to next ordinal word
        mov edi, HashTable
    ok_hash:
        cmp [edi], edx
        jnz @F
            ; Needed function found
            movzx   eax, word [eax]         ; Name ordinal
            shl eax, 2              ; Multiply by 4
            add eax, [esp + 4]
            add eax, ebx
            mov eax, [eax]
            add eax, ebx
            stosd
            jmp @endif
        @@: scasd                          ; Skip function hash
          @endif:
        cmp dword [edi], 0
        jnz ok_hash
        dec ecx
        jnz search_api_name
        add esp, 8
        ret
     
      szUser32   db 'user32', 0
      szMessage  db 'Message!!!', 0
      szCaption  db 'Caption', 0
     
    HashTable:             ; Functions' hashes may be in non-alphabetical order
        ReadFile           dd 00BE25545h
        IsDebuggerPresent      dd 09279E814h
        GetModuleFileName      dd 060F43F1Bh
        MessageBox         dd 014D14C51h
        GetFileSize        dd 09554EFE7h
        GetProcAddress         dd 0F2509B84h
        CloseHandle        dd 0C0D6D616h
        GlobalFree         dd 0585ED3CFh
        LoadLibrary        dd 0A412FD89h
        GetModuleHandle        dd 0C9BFFA7Dh
        VirtualProtect         dd 0C5FF2F46h
        GlobalAlloc        dd 0C2F6D009h
        CreateFile         dd 038C62A7Ah
        ExitProcess        dd 0E6FF2CB9h
        Zero               db 0
                       ; Terminating NULL is necessary. DON'T DELETE





Цитата Ct757 @
И какой в этом смысл?

Смысл не в 1kb а в самой задаче!

Моя задача:
Создать программу которая будет брать на себя очень многое...
но при этом получить маленькую размером программу
учитывая оптимальность.

Использовав как можно больше логического вычисление
и как можно меньше переменных.

Вот так ;)]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079070 Sun, 16 Apr 2006 16:29:22 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079070 Arazel, ну тогда уж можно было что-нибудь менее громоздкое сделать чем crc32 ;) Например какой-нибудь простенький самопальный хэш-алгоритм.

Цитата Arazel @
Зато файл уменьшился в 1kb

И какой в этом смысл? ;)]]> Ct757 Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079063 Sun, 16 Apr 2006 16:23:06 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079063 Ct757 Я пытаюсь как можно меньше сделать код а ты предлагаешь его повысеть так не пойдет ;) Я даже именна ф-ций в CRC32 формате минимизировал!
Зато файл уменьшился в 1kb :D

Так что надо как можно меньше сделать...

Вообщем наверное я воспользуюсь LoadLibraryA :(]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079015 Sun, 16 Apr 2006 15:21:38 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1079015 Arazel из PEB (Process Environment Block) можно узнать адреса и имена всех загруженных библиотек ;) Копай PEB_LDR_DATA.]]> Ct757 Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078948 Sun, 16 Apr 2006 14:16:59 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078948 Ct757 Это я знаю :)
Но разве тебе не интересно найти User32.dll в памяти :)]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078905 Sun, 16 Apr 2006 13:09:05 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078905 Arazel, а эт не факт что они загружены будут. Лучше искать kernel а потом через LoadLibrary.

Цитата Monty @
Arazel во всех версия MS Windows база у них одинаковая

Это с каких пор? :)]]> Ct757 Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078885 Sun, 16 Apr 2006 12:44:10 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078885 Evgeniy Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078700 Sun, 16 Apr 2006 09:22:18 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078700 Arazel во всех версия MS Windows база у них одинаковая ;)]]> Monty Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078667 Sun, 16 Apr 2006 08:42:16 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078667 ProgramMan А на TASM нет нечего? Я синтаксис FASM плохо понимаю :huh:]]> Arazel Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078537 Sun, 16 Apr 2006 05:40:19 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078537 Arazel, исходник на FASM.]]> ProgramMan Assembler https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078534 Sun, 16 Apr 2006 05:29:21 +0000 Как найти базовый адрес User32.dll? https://forum.sources.ru/index.php?showtopic=139965&view=findpost&p=1078534 Arazel Assembler