4. Extrem kleine Asm-Programme

Extrem kleine Asm-Programme

  • ?

    Das ist nicht so wichtig.Mir geht es darum,dass ich bei meinem PC mit Win XP und keinem ServicePack weis wo diese dlls sich befinden.
    Wenn sie sich in meinem System immer an der selben Stellé befinden und ich weis wo diese ist,bin ich zu Frieden.
    Was mich interessiert ist,wie ich rausbekomme wo sich die dlls befinden.
    Gruß Hans

    0
  • R

    Zeigt dir jeder Debugger an. Oder du schaust dir die DLLs mit dumpbin (vom Visual Studio) an.

    0
  • ?

    Und was macht die Anweisung "Pragma" im Beispielcode von Masterofx32 ??

    0
  • M

    Hans94 schrieb:

    Und was macht die Anweisung "Pragma" im Beispielcode von Masterofx32 ??

    Dem Compiler bescheid sagen, wie er etwas machen soll. Im Fall von #pragma comment (linker, xxx) werden die Optionen an den Linker weitergegeben.

    //Nicht zu irgendeiner Standardbibliothek linken
#pragma comment(linker,"/NODEFAULTLIB")

/*WinMain als Funktion angeben, in die das Betriebssystem beim Ausführen
der EXE springen soll. Das wäre standardmäßig die Funktion WinMainCRTStartup
aus der Laufzeitbibliothek, die dann unsere eigene WinMain aufgerufen hätte.
Die Laufzeitbibliothek gibt es in dem Projekt aufgrund des vorherigen
Parameters aber nicht mehr also muss direkt WinMain als Einsprungspunkt angegeben werden.*/
#pragma comment(linker,"/ENTRY:WinMain") 

//Section .rdata und .text mit in die Section .data packen
#pragma comment(linker,"/MERGE:.rdata=.data")
#pragma comment(linker,"/MERGE:.text=.data")

/*Ausrichtung von 64 Byte und Lese-,Schreib- und Ausführzugriff für .data-Section setzen,
  da sie sonst nur Daten enthalten würde und keinen ausführbaren Code */
#pragma comment(linker,"/SECTION:.data,ERW,ALIGN:64")
    0
  • ?

    Hans94 schrieb:

    Das ist nicht so wichtig.Mir geht es darum,dass ich bei meinem PC mit Win XP und keinem ServicePack weis wo diese dlls sich befinden.
    Wenn sie sich in meinem System immer an der selben Stellé befinden und ich weis wo diese ist,bin ich zu Frieden.
    Was mich interessiert ist,wie ich rausbekomme wo sich die dlls befinden.
    Gruß Hans

    Die Adresse an welche die dll's im Speicher geladen werden kannst du mit GetModuleHandle() ermitteln.

    z.B
    HMODULE KernelBase;
    KernelBase = GetModuleHandle("kernel32.dll");
    Wenn du das meinst.

    0
  • ?

    Am sonsten muss du wie alle Viren/Shellcodeprogrammierer vorgehen, und zwar so:

    1. kernel32.dll image base address ermitteln (siehe unten)
    2. Wenn du kernel32.dll gefunden hast, dann suchst du in seiner ExportTable nach
    Funktionen, in der Regel sind das nur zwei:
    a) LoadLibraryA() anderen dll's zu laden
    b) GetProcAddress() Adressen von Funktionen zu bekommen
    3. Jetzt mit diesen zwei funktionen kannst du alle Funktionen die du brauchst finden und aufrufen.

    MASM32

    find_kernel:
			xor	eax, eax 						; eax = 0
			ASSUME FS:NOTHING
			mov 	eax, fs:[eax+30h]					; Extract the PEB
			test	eax, eax						; Check for Windows 9x
			js 	kernel_9x 						; If signed jump to windows 9x lookup
		kernel_nt:
			mov 	eax, [eax+0Ch] 					; Extract the PROCESS_MODULE_INFO pointer from the PEB
			mov 	esi, [eax+1Ch] 					; Get the address of flink in the init module list
			lodsd 							; Load the address of blink into eax
			mov 	eax, [eax+8h] 					; Grab the module base address from the list entry
			jmp 	find_kernel_finish				; Fall down to the bottom
		kernel_9x:
			mov 	eax, [eax+34h] 					; Undocumented offset (0x34)
			lea 	eax, [eax+7Ch] 					; Load the address of eax+0x7c to keep us in signed byte range
			mov 	eax, [eax+3Ch] 					; Undocumented offset (0xb8)
		find_kernel_finish:
	       ; kernel32.dll image base ist nun im EAX

    Also schau mal lieber das hier an: http://72.14.207.104/search?q=cache:ygC8U4urr18J:www.hick.org/code/skape/papers/win32-shellcode.pdf+win32+shellcode&hl=de

    0
Anmelden zum Antworten