Foro de elhacker.net

hola

estuve leyendo el tutorial de Ferchu sobre PE, y estuve haciendo los pasos que alli decia, todo iba bien pero me encontre con el problema de que al modificar notepad por la mas minima cosa, ya no sirve, me dice que no es win32, trate de modificarlo con el editor de hexadecimal HxD y utilice windows 7, alguien sabe porque pasaria eso?

hice el inteto de solamente modificar NumbreOfSections, me da 4 con olly pero al modificarlo a 5 y guardar el archivo me dice que ya no es una aplicacion win32

salu2  ;D

No puedes modificar ningun ejecutable con un editor de texto normal  ::). Tienes que usar, como has dicho, un editor hexadecimal. El problema es que si lo abres con notepad te lo cargas  :P Eso se debe a que notepad le quita y mete algunas cosas...
Es un editor, pero no binario

No dijo que lo haya modificado con el notepad, sino que está modificando el notepad.exe.

---

Tienes que tener cuidado a la hora de modificar, si cambias el NumberOfSections a 5 y hay sólo 3 secciones el loader de windows va a verlo y va a soltarte el error de que no es un ejecutable válido, porque no lo es. Si quieres cambiar el NumberOfSections tienes que añadir secciones y modificar otros datos como el SizeOfHeaders, SizeOfImage, etc. Lo mejor es que sigas el taller de Ferchu al pie de la letra hasta el final, si haces un sólo paso sin terminar de modificar los otros valores del PE no vas a arreglar el exe para que sea válido.

Saludos

hola

si hice todo lo que habia alli, paso a paso... lo hice con ollydbg 1 porque la version 2 no tenia PE headers, y use un editor de hexadecimal... asi se llama... HxD, pueden buscarlo en google y asi lo encontraran "HxD"... modifique todo lo que alli decia en el tuto... pero al guardar notepad con el editor, me salia que ya no era una aplicacion win32

hice el intento de modificar solo una cosa solo para ver si aun asi seguia funcionando, pero como les menciono si segui todos los pasos

pero no entiendo que puede salir mal

por cierto tanto el editor como ollydbg los abri como administrador, y cuando guardaba el notepad en system32 me salia un mensaje, y me adverti de que algo pasaria, si necesitan el mensaje despues se los pongo, es que virtualizo windows y ahorta estoy en linux... la unica forma en que el editor pudiera guardar sin ningun mensaje era si lo hacia en el escritorio, despues de alli lo volvia a poner en system32, pero igual me salia el mensaje de que ya no era win32, por cierto, hice copia de  seguridad de notepad, las pruebas solo las hacia con copias.

Compara el original con el modificado, a ver si ha cambiado algo aparte de lo que tu has modificado ...

Puedes subir los dos ejecutables a algún sitio y vemos a ver que le pasa  :P.

Saludos

Si lo dejo inservible el problema esta en la cabecera PE

Bueno, pero si no sabemos que cambia...  :huh: A ver que dices...

hola

disculpen que no poste nada, pero he tenido cosas que estudiar en mi escuela, bueno... ya lo volvi a hacer, y ya logre hacer el paso 2, al parecer si aumentaba +1 NumberOfSections de notepad, en mi version de windows 7 me aparece 4, le puse 5 y con eso ya no funcionaba

lo deje en 4 hice lo demas y ya me funciono, no se si tendria que haberle aumentado 2 en vez de 1 y dejarlo en 6, pero bueno, no lo modifique y funciono.

intente hacer el capitulo 3, y tengo varias dudas, y pues tampoco me funciono, y no se si tambien sea por alguna diferencia, por ejemplo

en el hexadecimal 0xE0 al cambiarlo a oxB8, me aparece una pantalla negra, es rapido y no logro distinguir que programa de consola se abre, es normal? y el programa se mantiene bien como aplicacion win32, intente dejarlo como E0, pero al finalizar todo, no me aparece tampoco la ventana de Messagebox

y el codigo en asm, con que compilador lo puedo hacer para que me funcione ese codigo para poder verificar los opcodes?, lo hago con fasm, con masm o con algun compilador como Mingw?, intente hacerlo rapido usando ollydbg para que me diera los opcodes, y solo me dio diferente uno

B8 9D 73 00 01 --> Ferchu

B8 9D 73 10 00 --> a mi con ollydbg

pero tampco me funciono

pero no se que pueda ser, hice el cambio exacto, quite y agregue los bites que mencionan, tarate de buscar los opcodes e incluso cambiar el que les mencione, pero tampoco

espero me puedan seguir ayudando, y gracias por las respuestas anteriores

salu2

Sube el ejecutable original y el modificado, así podemos ver el problema, sinó estará difícil  :P.

Saludos

hola

perdon por no volver a postear, pero queria hacerlo cuando ya tuviera tiempo y no solo postear una vez y tener que espera otra semana...

bueno, ya con tiempo, espero no vayan a pensar que son troyanos o algo asi, el primero es el archivo original notpad de win7 ultimate y el segundo es el que modifique, si reciben mensajes del antivirus, espero me avisen o diganme de que otra forma podrian ayudarme sin enviar algo porfavor

original notpad

http://www.megaupload.com/?d=NWMSREOW

modificado notepad

http://www.megaupload.com/?d=UBS18P3O

ya logre ver lo que decia el mensje en consola al ejecutar notepad e igual dice ue no se puede ejecutar en DOS... pero no moifique lo que anteriormente mencione supuestamente
para que ya no me saliera eso

espero puedan seguir ayudando con esto

gracias y salu2