Low level programming blog: 2011

суббота, 31 декабря 2011 г.

C новым годом!

Поздравляю всех с 2012 Новым годом!Всем хорошего настроения и удачно отметить!!!:)

понедельник, 26 декабря 2011 г.

сплайсинг апи

сегодня пойдет речь,я думаю,об одном из самых перспективынх методов перехвата АПИ в ring 3- сплайсинге.

И так не много теории.

Сплайсинг-метод перехвата API функций в режиме юзера (ring 3). Обычно изменяются первые 5 байт функции на длинный прыжок по адресу обработчика перехвата.В зависимости от ситуации может понадобится дизассемблер длин инструкций,однако M$ изменила пролог начиная с ХР SP2, позволяя при этом не анализировать длины.Длины в 5 байт будет достаточно(5байт- E9h- опкод прыжка jmp).Сплайсинг так же позволяет осуществлять глобальный перехват функций, тем самым охватывая все процессы в системе.

Применение:

Данный вид перехвата используется:

1)Десктопное ПО производящее операции с ОС (например мониторы)

2)Хуки

3)Малварь (руткиты и т.п.)

Инструменты:

1)ЯП (в данном случае Delphi)

2)музычка (kmfdm или rammstein сойдет)

3)руки.голова

И так начнем.

Как вы поняли наш код будет размещаться в dll-ке которая будет загружаться во все процессы и творить там свои темные дела.Чтобы не парится я буду извращаться с мэссэджбоксом.

код:

Создаем две записи-структуры

type

OC=packed record

frst:dword;

sec:word;

end;

fj= packed record

pusho:byte;

pushar:pointer;

reto:byte;

end;

1-я будет содержать запись на оригинал кода.2-я длинный прыжок

объявим переменные структур

var

jmpmw,jmpma:fj;

ocmw,ocma:oc;

mwadr,maadr:pointer;

я возьму функцию messageboxex- это считайте тот же messagebox только в нем присутствует идентификатор языка.

Теперь нам нужно описать функции на которые будет происходить прыжок.

Их будет две.Почему так?Мурка заключается в том что существуют две категории АПИ ansi и Unicode которые имеют соотв. окончание MessageBoxA или например MessageBoxW. Соль в том что анси является 8 битной кодировкой и может предоставлять только 256 уникальных символов, в то время как юникод обеспечивает 65535 уникальных символов,это было сделано с целью работы со всеми языками мира.

начнем описание функций:

function NMessageBoxExA(hWnd: HWND; lpText, lpCaption: PAnsiChar;

uType: UINT; wLanguageId: Word): Integer; stdcall;

var txt,cap:pwidechar;

txtl,capl:dword;

begin

txtl:=lstrlen(lptext)*sizeof(widechar)+2;

capl:=lstrlen(lpcaption)*sizeof(widechar)+2;

getmem(txt,txtl);

getmem(cap,capl);

stringtowidechar(lptext,txt,txtl);

stringtowidechar(lpcaption,cap,capl);

result:=MessageBoxExW(hWnd, txt, Cap, uType, wLanguageId);

freemem(txt);

freemem(cap);

end;

что к чему. новая функция имеет те же флаги что и обычная:

дескриптор окна, текст сообщения,заголовок окна,стиль окна и язык.

работаем с widechar выше разобрали почему(т.к. он поддерживает интернациональные символы).

напрямую со string мы не работаем,а работаем с памятью.

Получаем длину текста и длину заголовка.Выделяем кол-во динамической памяти= длине, получая данные в нужные переменные.Затем конвертируем строки и получаем готовые флаги ф-ии.вызываем ф-ю с нужными параметрами и освобождаем память.

Следующей определяем оригинал

function TrueMessageBoxExW(hWnd: HWND; lpText, lpCaption: PWideChar;

uType: UINT; wLanguageId: Word): Integer; stdcall;

var

Written: dword;

begin

writeProcessMemory(INVALID_HANDLE_VALUE, mwadr,@ocmw, SizeOf(OC), Written);

Result := MessageBoxExW(hWnd, lpText, lpCaption, uType, wLanguageId);

WriteProcessMemory(INVALID_HANDLE_VALUE, mwadr,@Jmpmw, SizeOf(fj), Written);

end;

За ней идет юникодный msgbox

function NMessageBoxExW(hWnd: HWND; lpText, lpCaption: PWideChar;

uType: UINT; wLanguageId: Word): Integer; stdcall;

var

Atxt: PWideChar;

ntxtt: PWideChar;

nlen: dword;

a:integer;

begin

a:=length('Happy new year asshole!');

Atxt := stringtopwide('Happy new year asshole!',a);

nlen := (lstrlenw(Atxt) + lstrlenw(lpText)) * SizeOf(WideChar) + 20;

GetMem(ntxtt, nlen);

lstrcpyw(ntxtt, lpText);

lstrcatw(ntxtt, #10#13#10#13);

lstrcatw(ntxtt, Atxt);

FreeMem(Atxt);

Result := TrueMessageBoxExW(hWnd, ntxtt, lpCaption, uType, wLanguageId);

FreeMem(ntxtt);

end;

по анологии с ansichar заполняем Unicode. Вы можете наблюдать строку.Эта строка будет выдаваться теперь при вызовах msgbox. Но в самом начале кода нам потребуется две вспомогательные функции.

вот они:

Function AllocMem(Size: Integer): Pointer;

asm

or EAX, EAX

JZ @@exit

PUSH EAX

CALL System.@GetMem

POP EDX

PUSH EAX

MOV CL, 0

CALL System.@FillChar

POP EAX

@@exit:

end;

*написано с целью не подключать модуль sysutils

эта функция выд-т область памяти,после чего мы применяем функцию конвертирования string строки в widechar

function stringtopwide(str:string;var a:integer):pwidechar;

var

pwc:pwidechar;

d:integer;

begin

d:=length(str)+1;

a:=d*2;

pwc:=allocmem(a);

multibytetowidechar(cp_acp,0,pchar(str),d,pwc,a);

result:=pwc;

end;

Дальге мы получаем адреса функций ,заполняем записи и устанавливаем прыжок.

procedure SetHook;

var

hwnd: dword;

Byte: dword;

begin

hwnd := GetModuleHandle('user32.dll');

mwadr := GetProcAddress(hwnd, 'MessageBoxExW');

maadr := GetProcAddress(hwnd, 'MessageBoxExA');

ReadProcessMemory(INVALID_HANDLE_VALUE, mwadr, @ocmw, SizeOf(OC), Byte);

ReadProcessMemory(INVALID_HANDLE_VALUE, maadr, @ocma, SizeOf(OC), Byte);

jmpmw.pusho := $68;

jmpmw.PushAr := @NMessageBoxExW;

jmpmw.RetO := $C3;

jmpma.pusho := $68;

jmpma.PushAr := @NMessageBoxExA;

jmpma.RetO := $C3;

WriteProcessMemory(INVALID_HANDLE_VALUE, mwadr, @jmpmw, SizeOf(fj), Byte);

WriteProcessMemory(INVALID_HANDLE_VALUE, maadr, @jmpma, SizeOf(fj), Byte);

end;

разбираем:

получаем дескриптор системной dll-ки в которой хранятся наши функции.

записываем их адркса в записи.

сохраняем оригинальные начала. Формирование новых начал функций в структурах jmpmw и jmpma идет так: опкод 68h -push, затем ее аргумент – адрес нашей функции, которая заменит оригинальную, в конце идет опкод c3h-ret.И переписываются оригинальные начала на наши.

когда надо подставить оригинал,возвращаем байты

Procedure Unhook;

var

Byte: dword;

begin

WriteProcessMemory(INVALID_HANDLE_VALUE, maadr, @ocma, SizeOf(OC), Byte);

WriteProcessMemory(INVALID_HANDLE_VALUE, mwadr, @ocmw, SizeOf(OC), Byte);

end;

Далее следует процедура,которая поможет загрузить нашу dll-ку глобально

Function Msg(code : integer; wParam : word;

lParam : longint) : longint; stdcall;

begin

CallNextHookEx(0, Code, wParam, lparam);

Result := 0;

end;

собсно сама процедура

Procedure SetGlobalHookO;

begin

SetWindowsHookEx(WH_GETMESSAGE, @Msg, HInstance, 0);

Sleep(INFINITE);

end;

и оставляем в памяти.

Procedure SetGlobalHook;

var

hMutex: dword;

TrId: dword;

begin

hMutex := CreateMutex(nil, false, 'AdvareHook');

if GetLastError = 0 then

CreateThread(nil, 0, @SetGlobalHookO, nil, 0, TrId) else

CloseHandle(hMutex);

end;

устанавливаем глобальный хук. проверяем запущен ли файл.Только поток владеющий мьютексом имеет домтуп к области памяти.

procedure DLL(dwReason: DWord);

begin

case dwReason of

DLL_PROCESS_ATTACH:

begin

SetGlobalHook;

SetHook;

end;

DLL_PROCESS_DETACH: UnHook;

end;

begin

DllProc := @DLL;

DLL(DLL_PROCESS_ATTACH);

end.

и смысл последней процедуры: при аттаче длл устанавливается хук. при детаче-хук соответственно снимается.

Остается лишь написать лоадер.

.386

.model flat,stdcall

option casemap:none

include include\windows.inc

include include\kernel32.inc

includelib lib\kernel32.lib

.data

libname db 'MSGSPLICE.dll',0

start:

invoke LoadLibrary,addr libname

invoke Sleep,INFINITE

end start

грузим dll-ку и висим в памяти.

и так алгоритм работы в кратце (итог типо)

1) получаем дескриптор библиотеки , в которой содержатся функции которые необходимо перехватить.

2) в соответствующие переменные записываем оригинальные адреса функций

3) сохраняются оригинальные начала функций

4) Формирование новых начал функций в структурах jmpmw и jmpma. В начале идет опкод команды push, затем ее аргумент – адрес нашей функции, которая заменит оригинальную, в конце идет оператор ret.

5) переписываются начала оригинальных API-функции данными из структур

Таким образом в начало оригинальных функций

будут вставлены переходы на их функции-заменители.

воскресенье, 25 декабря 2011 г.

Набросал на скорую руку.Всех с наступающим!удачно сдать сессию,у кого она идет.
http://splashed.ucoz.ru/let_it_snow.zip

понедельник, 5 декабря 2011 г.

взлом через терминал

http://www.youtube.com/watch?v=Gn3NIcRfIlA

воскресенье, 27 ноября 2011 г.

частенько на выездах приходится иметь дело с подменой либо вообще удалением хостса,в 7 (да и в других) проделывать все рутинные манипуляции с блокнотом и шарить по папкам в хп мне надоело,по этому я навоял махонькую,простенькую прогу размером в 2137 байт для коррекции хостса.

скачать http://splashed.ucoz.ru/hosts_restore.zip

воскресенье, 20 ноября 2011 г.

Билдер на delphi

Всем доброго времени суток.На днях мне стукнуло пару тройку людей в асику с целью что бы я объяснил как делаются билдеры каких либо прог.На словах оно конечно не оч ясно,по этому я решил сделать микро-статейку.
Билдер будет простой, для наглядности с messagebox-ом.
Приступим.
Напишем для начала наш билд.Писать можно на любом языке,я буду на масме.

.386

.model flat, stdcall

option casemap:none

include include\windows.inc

include include\kernel32.inc

include include\user32.inc

include include\shell32.inc

includelib lib\shell32.lib

includelib lib\user32.lib

includelib lib\kernel32.lib

.data

cap db 'MSG',0

msg db 'Hello!',0

start:

invoke MessageBox,0,addr msg,addr cap,0

invoke ExitProcess,0

end start

Билд есть.Суть билдера будет в том что бы изменять нужные данные (заголовок и сообщение) билда.Это будет делаться с помощью замены байтов.Как узнать нужные байты?Берем hiew или любой хекс редактор который Вам по душе и открываем в нем наш билд.Ищем выводимые строки.

записываем нужные байты.Теперь нам нужно сделать ресурс.Создаем новый текстовый файл с расширением *.rс в нем пишем например:FILE1 EXEFILE NEW.EXE
где new.exe- наш билд.Теперь нужно скомпилировать ресурс.Это можно сделать любым компилятором ресурсов,можно взять тот что в delphi brcc32.exe.
кидаем на него файл rс и получаем файл *.res. Данный ресурс мы прилинкуем в наш билдер (билдер пишем на делфи) таким образом:
{$R Res.res} вписав это перед implementation, где res.res- имя вашего файла ресурсов.Далее следует код билдера.Алгоритм создания билда таков:
1)Извлечь из ресурсов наш первоначальный билд
2)Пропатчить необходимые байты
3)Переименовать билд в заданное имя.
Итак код билдера:

var

Form1: TForm1;

m:array[1..6]of integer; // массив байтов сообщения

c:array[1..3]of integer; // массив байтов заголовка

implementation

{$R *.dfm}

{$R res.res} // прилинкованный файл ресурсов

procedure TForm1.Button1Click(Sender: TObject);

var fn,msg,cap:string;

ch:byte;

BR:dword;

h:Thandle;

Res:TResourceStream;

begin

m[1]:=$404; // массив байтов заполняем нужными байтами

m[2]:=$405;

m[3]:=$406;

m[4]:=$407;

m[5]:=$408;

m[6]:=$409;

c[1]:=$400;

c[2]:=$401;

c[3]:=$402;

fn:=edit1.Text; //тут имя билда

msg:=edit2.Text; //тут сообщение

cap:=edit3.Text; // заголовок

Res:=TResourceStream.Create(HInstance,'FILE1','EXEFILE');

Res.SaveToFile(ExtractFilePath(Application.ExeName)+'new.exe');

Res.Free; // извлекаем файл из ресурсов

h:=fileopen('new.exe',fmopenwrite); // открываем на запись

ch:=ord(char(pchar(msg[1]))); // берем первый символ, преобразовавши его в его код.

setfilepointer(h,m[1],nil,0); // указываем позицию в файле

writefile(h,ch,sizeof(ch),br,nil); // заменяем байт. т.д.

ch:=ord(char(pchar(msg[2])));

setfilepointer(h,m[2],nil,0);