4. WinApi hooking führt zum "Buffer Overrun!", hilfe!

WinApi hooking führt zum "Buffer Overrun!", hilfe!

  • T

    Hi,
    also ich habe jetzt mal eine Weile getüftlet und mich entschieden, die MessageBoxA zu hooken eines fremden Processes, eigentlich klappt das auch super, statt der Original MessageBoxA wird meine eigene Funktion aufgerufen. Allerdings meldet sich im anschluss auch gleich der Debugger mit folgender Fehlermeldung:

    A buffer overrun has occurred in WinApiVictim.exe which has corrupted the program's internal state. Press Break to debug the program or Continue to terminate the program.

    Ich habe mir das ganze mal im OllyDebugger angeschaut, hier mal ein bild das den vergleich zeigt:
    ➡ http://www.pictureupload.de/originals/pictures/090308183900_Weg.JPG

    Und wenn er von meiner Funktion wieder zurück springt dann hängt sich das Programm beim nächsten Call auf. Hmm.... Muss ich da die überschriebenen Bytes sichern? und wenn ja, wie gehts dann weiter?

    Ich hoffe ihr könnt mir da helfen?!

    Gruß Tobi.

    0
  • T

    Hat keiner nen Plan?

    0
  • J

    T0bi schrieb:

    Muss ich da die überschriebenen Bytes sichern? und wenn ja, wie gehts dann weiter?

    Es sieht so aus, als ob Du hooking gar nicht verstanden hast...

    Schau Dir Detours an.

    0
  • Mod

    Veränderst Du denn Speicher im fremden Prozess? Kopierst Du Infos um?

    Dann wundert es mich nicht...

    0
  • T

    Naja ich suche mir die Funktion die ich hooken will, und an deren Adresse schreibe ich einen Jump zu meiner Funktion im speicher. nach beenden meiner Funktion springt er dann doch automatisch zurück hinter den Jump. Sicher dort wurden nun aber Bytes überschrieben, die kann ich doch aber nicht mehr da zwischen quetschen?!

    @Jochen: Ich habe mir das Detours ja mal runter geladen gehabt aber ne richtige Doku habe ich nicht dazu gefunden, halt nur Funktionen und so, halt ohne Beschreibung.

    0
  • J

    Wenn Du bytes einfach überschreibst und dann einfach irgendwo dahinter hinspringst, kann das logischerweise nicht gehen, da ja diese Bytes in der Ausführung fehlen, oder?

    0
  • T

    Weiß ich ja, abr wie kann ich das ausmerzen?

    0
  • T

    *Bitte, nicht vergessen!*

    0
  • T

    soll ich dann evtl. die überschrieben bytes in meiner funktion dranhängen oder aehnliches?

    0
  • M

    Sorry, im Moment bin ich gereizt 😡 wenn ich dem Heute-ist-total-in-Schlagwort "Hooks" hier im Forum begegne.
    Anscheinend schwappt hier eine Welle von "Möchtegern-Profi-Programmierern" über, die alles über Hooks Bescheid wissen oder wissen möchten.

    Ist es Dir eigentlich klar, daß Du mit den manipulierten Bytes in andere Prozesse hineinpfuschst?
    Bist Du Dir überhaupt im klaren, daß Du von Deinem Prozess aus NIEMALS in den Adressraum eines anderen Prozesses einsehen kannst?
    Das ist der Sicherheitsmechanismus von WinNT um die Prozesse untereinander z.B. bei einem Absturz zu schützen.
    (Ich gehe davon aus, Du redest hier von ganz normalen Prozessen, und nicht von Kernel- oder gar Ring 0-Funktionen)
    Das sind Grundlagen, die man wissen müßte bevor man überhaupt irgendwas mit Hooks anfangen soll, die prozessübergreifend wirken.

    Sowohl Martin Richter als auch Jochen Kalmbach SIND über jeden Zweifel erhaben absolut professionelle Programmierer.
    Und sie haben Dir hier erklärt das das so nicht geht wie Du das beschrieben hast. Wie sollen wir Dir da noch helfen? 😕

    Speziell Du, mein Freund TObi, scheinst ein sehr hartnäckiger Typ zu sein.
    Jochen hatte Dir schon mal Detours empfohlen, lese mal Deinen eigenen Beitrag von anno dazumal: http://www.c-plusplus.net/forum/viewtopic-var-t-is-206993-and-highlight-is-.html

    Martin

    0
  • ?

    Bist Du Dir überhaupt im klaren, daß Du von Deinem Prozess aus NIEMALS in den Adressraum eines anderen Prozesses einsehen kannst?

    ReadProcessMemory 🙄

    0
  • T

    Sicher.
    Aber ich möchte nicht mit Detours arbeiten, sondern irgendwo sehen das ich das auch alleine schafe und nicht mit schon fertigen Funktionen aus libs.
    Sicher ist mir auch klar das der Process abrauchen wird wenn ich da Bytes überschreibe und die nun mal nicht mehr für das Prgramm auffindbar sind. Ich hab mir da ja auch schon ein paar gedanken gemacht wie ich das umgehen kann und bin zu dieser Idee gekommen, so wie ich es ja auch schon in einigen Tutorials gesehen habe.

    (Alles Process intern!)

    *(1) Ich suche mir die Funktion die ich hooken will (MessageBoxA) aus der user32.dll und besorge mir deren Addresse

    (2) Ich suche die Adresse meiner Funktion

    (3) Da es meistens long jumps sind um auf Funktionen um zuleiten, werden 5Bytes benötigt, also schau ich im OllyDbg ob ich evtl. Bytes auseinander reiße oder nicht ( War nicht der Fall )

    (4) Ich allociere in meiner Anwendung genug Speicher um: 1. den Sprung zu meiner Funktion im speicher / 2. die x zu sichernden Bytes / 3. den Sprung zurück zur original funktion zu machen bzw dahinter, zu speichern. Das macht am Ende 15Bytes die zu allocieren sind: 5 Sprung zur Funktion + 5 zu sichern + 5 Sprung zurück.

    (5) Ich rechne alle Sprung weiten aus hin und zurück und schreibe dann alles so der reihe nach in den Speicher

    (6) Nun schreibe ich von der zu hookenden Funktion ein Sprung zu diesen Speicher der alles beinhalten (4)*

    Ich habe mir das alles mal Stück für Stück im Debugger angeschaut und festgestellt, das er exakt die 15Bytes sichert aber nachdem er den Jump zu meiner Funktion macht und diese ausgeführt hat springt er gleich zur Orignalen Funktion zurück ohne das er die anderen gesicherten Bytes ausführt die ihn da ja nun fehlen.

    Wieso ist das so?

    Gruß Tobi.

    0
  • Mod

    Wenn Du JPs verwendest wundert mich dasin keiner Weise!

    0
  • T

    wieso?

    0
  • Mod

    Weil Du einen Call nicht durch einen Jump ersetzen kannst...

    Wie sieht den exakt, der Code im Assembler aus, den Du ersetzt?
    Und wie exakt ersetzt du ihn?

    0
  • T

    Hier noch mal ein Bild hoffe es ist alles zu sehen.

    ➡ http://www.pictureupload.de/originals/pictures/120308174835_Unbenannt.JPG

    Doch mir ich gerade da fehlt noch ein Jmp zurück, doch das ist im moment nicht das Problem.

    0
  • ?

    was sind eigentlich hooks ?????? 😕

    0
  • T

    Einmal hier 😉
    http://de.wikipedia.org/wiki/Captain_Hook

    und dann evtl. noch mal hier
    http://msdn2.microsoft.com/en-us/library/ms644959.aspx

    Gruß Tobi.

    0
  • Mod

    @ToBi: Was DU hier machst ist für mich ignorant und unfassbar.
    Du versuchst mit den Mitteln eines Realschülers Mondraketen zu bauen!

    Genau das hatte ich geahnt, was Du hier gebastelt hast.

    Warum glaubst Du, dass nach dem umbiegen und dem einfügen eines JPs hinter dem JP weitere Code ausgeführt wird?

    Du machst einen JP in Deinen HOOK! Von dort einen JP (EINEN JP!!!!!) in Deinen Code. Wie soll er denn zurückkommen.

    Das wäre eine Lösung:
    - JP in deinen neuen Code block
    - CALL in Deinen Code.
    - ausführen der geischerten Bytes (auf vollständigen op-codeist zu achten. Nicht alle 5 Byte Kombinationen sind plausibel
    - JP zurück hinter Deinen 1. JP

    PS: Ich werde Dir nicht mehr helfen...

    0
  • T

    Hae, aber das tue ich doch da oben( sprich im Bild ), ich mache einen Jump zu meiner Codestelle, ok und hier mach ich nen Jump, aber wenn ich nen Call drauß mache ist es doch genau wie in deiner Anleitung, bis auf das ich noch ein Sprung zurück zum Anfang machen muss.

    0
Anmelden zum Antworten