Practical Reverse Engineering - Программирование

Practical Reverse Engineering 4 июня, 22:40 3180685 В конец треда | Веб

Пытаюсь реверсить малварь, написанную для XP
Прямо с порога делается какой-то ебучий call 0x75B4, когда ImageBase = 0x10000
В таблице импорта вместо названия либы 2 иероглифа, а от названия методов отколоты 2 символа

1) Как этот колл может работать?
2) Почему кал в таблице импорта?

Ответы180691 207540

2 4 июня, 22:45 3180691

>>180685 (OP)
Забыл сказать, что по адресу 0x175B4 лежит строка
INIT:000175B4 aCreatesystemth db 'CreateSystemThread',0
И можно было бы подумать, что эта хуйня виндой заменяется на jmp CreateSystemThread
Но другие похожие коллы вообще указывают на середину строки с названием функции

3 29 июня, 19:57 3207540

>>180685 (OP)
Поставь брекпоинт на call, и посмотри что будет в памяти по адресу перед самим выполнением вызова.

Ответы207763

4 30 июня, 02:37 3207763

>>207540
Не уверен, что знаю как запускать эту штуку

Ответы211361

5 4 июля, 10:27 3211361

>>207763
Виртуалку + x32/x64dbg или ollydb ставишь и запускаешь

6 29 июля, 00:29 3234274

Анон, у тебя не сохранилась случайно шапка утонувшего ASM-треда?

Ответы234709

# OP 7 29 июля, 17:40 3234709

>>234274
это подойдет?
https://2ch.hk/pr/arch/2022-06-02/res/2079195.html (

М)

Ответы235126

8 30 июля, 00:02 3235126

>>234709
Да, то, что надо. Спасибо, анон.

216 Кб, 656x486

9 14 окт, 15:16 3297885

Везде пишут и показывают картинки, что за dos-заглушкой идет сразу pe-заголовок. А у меня во многих файлах между ними впихнуты еще какие-то байты. Что это товарищ майор следит за мной?

Ответы298138 298555

10 14 окт, 18:28 3298138

>>297885
Гугли Rich headers.

Ответы298545

11 15 окт, 10:06 3298545

>>298138
Ага, понятно. Спасибо.

12 15 окт, 10:30 3298555

>>297885
может шеллкод в codecave?

Ответы299429

13 16 окт, 09:43 3299429

>>298555
Не, анон выше подсказал, что гуглить. Там просто. Разработчики винды туда пихают инфу о линковщике и компиляторе. Хранится это в зашифрованном виде, ключ шифра - дворд после слова Rich - это имя одного из разработчиков. Все хотят оставить свое имя в будущем.

32 Кб, 685x449

14 23 ноя, 20:54 3328011

Не могу нигде найти что за данные лежат по этому адресу
mov eax,dword ptr gs:[32ACh]
понятно, что gs указывает на TEB, но что там по оффсету 0x32AC?
Во всех источниках что я смотрел оффсеты PEB'а заканчиваются раньше 0x2000, что расположено за PEB'ом я найти не смог
Чатгопота говорит что там TLS, но я документальных пруфов не нашел, опытным путем подтвердить также не удалось (см.пикрил)

Обновить тред