Kysymys:
Itsemodifioivan haittaohjelman peruuttaminen
rustam Shirinov
2017-10-23 01:19:54 UTC
view on stackexchange narkive permalink

sain äskettäin käteni yhteen näytteeseen, joka muokkaa itse .text -osaansa. Joten, asetin katkaisupisteen .text -osioon kirjoittamista varten ja jatkoin sitten. Sain selville, että se nollaa .text -osion ja kirjoittaa sitten puretun koodin kyseiseen osioon ja soittaa sitten puretulle OEP: lle. Käytin Scyllaa oikaisemaan OEP: tä ja tyhjentämään .exe -tiedoston.

Scylla_output

Kun saan tuonnin se osoittaa, että ohjelma tuo vain koodin kernel32.dll.

PEBear_output

Tämä on kokoonpanon code> .exe -tiedosto PEBear.

ImmunityDBG_output

Tämän saan, kun Yritän avata tyhjennetyn tiedoston ImmunityDbg.

Saamani tuonti eroaa myös hyvin paljon siitä, mitä Scylla antoi minulle + Ohitettu ohjelma ei Suorita se kaatuu heti. Mitä teen väärin?

Kiitos.

voisitko antaa tiedoston sha256-hajautuksen?
Anti-verenpaine 1604 YP 431
ImmunityDbg on OllyDbg-haarukka, molemmilla on joskus vaikea tunnistaa pakkaamattoman osan koodia. Olly-sovelluksessa voit napsauttaa hiiren kakkospainikkeella näitä tunnistamattomia koodeja ja napsauttaa Analyysi> Analysoi koodi. Ehdotan, että seuraat Igorin [tässä vastauksessa] mainittuja vaiheita (https://reverseengineering.stackexchange.com/a/91/18698). Sinulla on usein vaikea tehdä pakkaamattomasta tiedostosta suoritettava tiedosto, pidä tämä mielessä.
Kiitos neuvosta, BTW unohdin mainita aina, kun käyn läpi saman menettelyn, saan erilaisia ​​hajautuksia, vaikka teen samaa asiaa.
Onko mahdollinen haittaohjelma virheenkorjausmenetelmillä?
`` IsDebuggerPresent '' on kutsuttu, mutta olen jo paikannut sen.
Kaksi vastused:
peter ferrie
2017-10-27 20:51:10 UTC
view on stackexchange narkive permalink

Aloita asettamalla katkaisupiste itse sisääntulopisteeseen, joka ei todennäköisesti ole lainkaan .text-osassa, vaan kokonaan toisessa osiossa. Näet, että ohjelma ratkaisee oman tuonnin dynaamisesti, todennäköisesti etsimällä kernel32.dll-tiedostosta LoadLibrary ja GetProcAddress.

Seuraamalla yläkerroksen läpi löydät myös, kun salauksen purku on valmis ja siirto hallinta purkautuneelle koodille. Jos tyhjennät tiedoston tuolloin ja purat tuloksen, saatat pystyä näkemään kaatumisen syyn - se on todennäköisesti virheenkorjauksen mekanismeja, joista on liian monta mahdollisuutta luetella tässä (mutta katso http://pferrie.host22.com/papers/antidebug.pdf (luettelo yleisimmin käytetyistä).

Kiitos. Vaikka ongelmani oli IAT, äänestän yksityiskohtaisen vastauksen saamiseksi.
rustam Shirinov
2017-10-28 00:16:53 UTC
view on stackexchange narkive permalink

Kiitos kaikille vastaaneille. IAT oli ongelma. Löydetty OEP oli todellinen OEP, joka osoitti pakkaamattomaan koodiin. Mutta dumpattu suoritustiedosto ei ollut ajettavissa, koska IAT oli vioittunut. Kun olet korjannut IAT: n Scyllassa. Se on nyt ajettavissa.



ⓘ
Tämä Q & A käännettiin automaattisesti englanniksi.Alkuperäinen sisältö on saatavilla stackexchange-palvelussa, jota kiitämme cc by-sa 3.0-lisenssistä, jolla sitä jaetaan.
Loading...