elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Top 20 herramientas Hacking más populares de 2020


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  como hacen los malware para executarse con inyeccion y sin DLL?
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: como hacen los malware para executarse con inyeccion y sin DLL?  (Leído 4,062 veces)
Belial & Grimoire


Desconectado Desconectado

Mensajes: 559


Tea_Madhatter


Ver Perfil
como hacen los malware para executarse con inyeccion y sin DLL?
« en: 29 Agosto 2011, 04:40 am »

hola

como hacen lo malware para ejecutarse haciendo inyeccion sin dll?, porque estaba intenando hacer inyecciones y con DLL no tengo problemas pero sin dll no puedo ejecutar funciones a menos que sean invokadas por estructuras, pero como crear una conexion socket unicamente con apis y estructuras?

y e visto troyanos que dicen que se ejecutan sin DLL, pero no encuentro como hacerlo, alguien aqui conoce algo sobre esto?, lo que intentaba hacer era en lenguaje C, hacer una inyeccion sencilla a notepad.exe, e invokar apis es sencillo, pero no puedo inyectar alguna funcion para ejecutar cualquier cosa, a menos de que sea otra api

o alguien me puede explicar de que forma serviria hacer una inyeccion sin dll, para hacking... ya sea, troyanos, exploits, gusanos, etc... porque como les menciono la unica forma que se, es usando dll y se me hizo interesante hacer sin eso

espero alguien tenga alguna informacion o idea...

salu2
En línea

.                                 
Karman


Desconectado Desconectado

Mensajes: 673



Ver Perfil WWW
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #1 en: 30 Agosto 2011, 17:57 pm »

hay un post en este foro del user [ZERO] (si mal no recuerdo) que explica como hacerlo, buscalo  :P

S2
En línea

Belial & Grimoire


Desconectado Desconectado

Mensajes: 559


Tea_Madhatter


Ver Perfil
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #2 en: 30 Agosto 2011, 18:55 pm »

hola

si se como hacerlo, pero lo que no encuentro es en que puede ayudar si solo logro invocar apis, me dijo Eternal Idol que es imposible hacer algo como esto, y puse de referencia el tuto de E0N

Citar
DWORD inyectada (datos *data)
{
MessageBoxA (0, data->mensaje, data->titulo, 0);
return 0;
}


Eso no funcionara nunca, el codigo a inyectar en tu programa usa la tabla de importacion para llamar a la API y esta no coincide (salvo por una casualidad) con la del programa inyectado.

se me habia ocurrido llamar a una funcion con CreateThread pero me aparece un error, solo puedo llamar desde esa funcion a una estructura


Código:
DWORD inyectada (datos *data)
{
data - >MessageBoxA (0, data->mensaje, data->titulo, 0);
return 0;
}

tambien intente reservar espacio para esa funcion, escribirla y llamarla con CreateThread, pero igual me sale un error

por lo que llego a ver esto lo puedo usar unicamente para abrir alguna aplicacion o DLL, por ejemplo que se autoinicie el programa, que abra espacio para inyeccion y que notepad abra la aplicacion o la DLL

pero seria igual a una inyeccion con DLL o que sobreescriba notepad agregando codigo... pero hay antivirus que checan el hash

la unica ventaja seria que mi aplicacion no abriria nada seria notepad y seria menos evidente que puede ser un malware

mmm, bueno mas que nada queria checar esto porque nunca me a gustado usar muchos archivos, porque supuestamente todo tiene que se sigiloso, asi puedo ver que fallos encuentro en mi computadora

sino pues continuare con inyeccion en DLL y vere si el metodo Meepa me puede ayudar en hacerlo menos evidente... aunque no logro hacer ese metodo en Win7 solo pude en WinXP

bueno, si algun tiene una opinion o una idea mas, se lo agradezco

salu2
« Última modificación: 30 Agosto 2011, 18:57 pm por Belial & Grimoire » En línea

.                                 
Karman


Desconectado Desconectado

Mensajes: 673



Ver Perfil WWW
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #3 en: 30 Agosto 2011, 19:06 pm »

no entendí muy bien lo que querés hacer (si es inyectar tu EXE a otro proceso y llamar a API's, etc, fijate el post que te comenté), si por otro lado, querés inyectar código a otro proceso y que use API's y/o que te inyecte/cargue a vos mismo (EXE o DLL) ya es más complejo, pero en resumidas cuentas los pasos serían los del ejemplo de EON (pero con más API's), si no es ninguno de los dos pues trata de explicarte mejor porque no te entiendo  :P

acá tenes otro ejemplo de más o menos lo mismo: http://foro.elhacker.net/programacion_cc/inyeccion_dll-t169870.0.html

S2
« Última modificación: 30 Agosto 2011, 19:19 pm por Karman » En línea

Belial & Grimoire


Desconectado Desconectado

Mensajes: 559


Tea_Madhatter


Ver Perfil
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #4 en: 30 Agosto 2011, 20:00 pm »

entonces todo lo tengo que hacer asi verdad?

Código:
struct iDat
{
sCreateMutex pCreateMutex;
};

//////////////////////

DWORD Resident(iDat *base)
{
//creamos el mutex "Resident" para marcar el proceso como
//inyectado
base->pCreateMutex(NULL, 0, base->Mutex);
}

////////////////////////////////

dat.pCreateMutex = (sCreateMutex)GetAdres("KERNEL32.DLL", "CreateMutexA");

y si por ejemplo quisiera iniciar un socket?

tendria que llamar la api de socket, darle los parametros a la estructura iDat y ejecutarlo desde la funcion Resident?

porque bueno, logro hacer todo esto que coloque... y si lo entiendo, pero tendria que hacer todo lo que necesite con estructuras, por ejemplo

pipe, socket, etc...?

y funciones extras como Send y Recv o conect, etc?, donde las colocaria?, eso es lo que no entiendo, como o donde colocar todo lo demas que necesite?

espero darme a entender, las apis se como usarlas y donde van, pero los demas parametros no se donde colocarlos

otro ejemplo

aqui podria usar un for( ; ; ) ? y si puedo donde o como lo hago funcionar desde la inyeccion?, porque se que no puedo hacer esto

Código:
DWORD Resident(iDat *base)
{
base->pCreateMutex(NULL, 0, base->Mutex);
for(i = 0; i<2, i++);
};

espero esto pueda hacer mas facil enteder mi duda, soy malo explicando jaja

salu2 y gracias
En línea

.                                 
Karman


Desconectado Desconectado

Mensajes: 673



Ver Perfil WWW
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #5 en: 30 Agosto 2011, 20:19 pm »

y si por ejemplo quisiera iniciar un socket?

tendria que llamar la api de socket, darle los parametros a la estructura iDat y ejecutarlo desde la funcion Resident?

porque bueno, logro hacer todo esto que coloque... y si lo entiendo, pero tendria que hacer todo lo que necesite con estructuras, por ejemplo

pipe, socket, etc...?

y funciones extras como Send y Recv o conect, etc?, donde las colocaria?, eso es lo que no entiendo, como o donde colocar todo lo demas que necesite?

espero darme a entender, las apis se como usarlas y donde van, pero los demas parametros no se donde colocarlos

y si, ese es el problema de usar ese método (por eso te comenté primero lo de inyección del executable donde solo tenes que preocuparte de "inyectarlo bien"), el tema de los parámetros tendrías que hacer algo así:

Código
  1. typedef struct funciones{
  2.  PVOID func1;//no necesariamente PVOID, solo para ejemplo
  3.  PVOID CreateFile;
  4.  PVOID recv;
  5.  //...
  6.  PVOID funcN;
  7. };
  8.  
  9. typedef struct datos{
  10.  HANDLE hFile;
  11.  SOCKET s;
  12.  CHAR nombre[XX];
  13.  PVOID buffer[512];//etc...
  14. };
  15.  
  16. struct me{
  17.  funciones f;
  18.  datos d;
  19. };
  20.  
  21. void X(struct me *yo){
  22.  yo->d.hFile=yo->f.CreateFile(yo->d.nombre/*...*/);
  23.  //....
  24.  yo->f.recv(yo->d.s,yo->d.buffer,512,0);
  25. }

e incluso podrías tener varias funciones (aunque tendrías que hacer una especie de "relocado")

Código
  1. typedef struct mefunc{
  2.  PVOID init;
  3.  PVOID dosomething;
  4. }
  5.  
  6. struct me{
  7.  mefunc m;
  8.  funciones f;
  9.  datos d;
  10. };
  11.  
  12. void init(){
  13.  return;
  14. }
  15.  
  16. //...
  17. me.m.init=init;
  18. //...
  19. me.m.init+=-mebaseaddres+inyectionaddress;
  20. //...

donde baseaddress sería la dirección de la primera función (suponiendo que estén en orden secuncial) e inyectionaddress la dirección que te devuelve virtualalloc (en la víctima)...

otro ejemplo

aqui podria usar un for( ; ; ) ? y si puedo donde o como lo hago funcionar desde la inyeccion?, porque se que no puedo hacer esto

Código:
DWORD Resident(iDat *base)
{
base->pCreateMutex(NULL, 0, base->Mutex);
for(i = 0; i<2, i++);
};

espero esto pueda hacer mas facil enteder mi duda, soy malo explicando jaja

puedes usar cualquier * instrucción del lenguaje sin problemas, el probema es con las llamadas intermodulares (funciones en otros espacios de memoria [dll's])

S2

El * es porque "en teoría" no deberías tener problemas dado que esas instrucciones son traducidas como saltos relativos (en el caso de C++ new y delete obviamente no van a estar disponibles).
« Última modificación: 30 Agosto 2011, 20:38 pm por Karman » En línea

Belial & Grimoire


Desconectado Desconectado

Mensajes: 559


Tea_Madhatter


Ver Perfil
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #6 en: 30 Agosto 2011, 21:38 pm »

Uff. Creo tendre que repasar mis libros y repasar usos de estructuras jeje

Creo esta vez usaren bastantes... bueno no importa mientras aprenda mas es mejor

Gracias por la ayuda y la paciencia
En línea

.                                 
[Zero]
Wiki

Desconectado Desconectado

Mensajes: 1.082


CALL DWORD PTR DS:[0]


Ver Perfil WWW
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #7 en: 30 Agosto 2011, 22:50 pm »

En el caso que te comentó Eternal Idol, que no te funcionaría porque la IAT no estaría con los datos adecuados, "simplemente" la rellenas a mano y listo. Otro problema sería la dirección base del ejecutable, te dejo el link al post que mencionó Karman:
Código:
http://foro.elhacker.net/analisis_y_diseno_de_malware/ejecucion_de_archivos_desde_memoria_base_relocation-t264564.0.html

También te dejo otra forma mucho más simple, que escribí hace no mucho:
Código:
http://h-sec.org/inyectando-ejecutable-memoria-dummysection

Con esta última, no podrías inyectar en el proceso que quieras, solo en el "contenedor", así que no sirve para algunas cosas.

Saludos
En línea


“El Hombre, en su orgullo, creó a Dios a su imagen y semejanza.”
Nietzsche
Belial & Grimoire


Desconectado Desconectado

Mensajes: 559


Tea_Madhatter


Ver Perfil
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #8 en: 31 Agosto 2011, 00:00 am »

que bien mas informacion...

ahora entiendo porque me dijo que a menos de que la tabla coincida podria funcionar, bueno... gracias [Zero] ahorita mismo veo los links

salu2
En línea

.                                 
Arkangel_0x7C5


Desconectado Desconectado

Mensajes: 361



Ver Perfil
Re: como hacen los malware para executarse con inyeccion y sin DLL?
« Respuesta #9 en: 1 Septiembre 2011, 22:04 pm »

yo lo que ago es inyectar 2 codigos: shellcode(Es independiente de la address_base)+struc(contiene argumentos para el exe, la direccion de el exe+puntero a GetprocAddress, LoadLibrary, VirtualProtec)+exe_con_seccion_reloc

luego solo hay que conocer las diferentes secciones del PE.
http://h-sec.org/formato-pe-windows-espanol

Asi tu exe no tiene porque saber nada de las inyecciones

PD:hay problemas con la carga dinamica de msvcrt.dll y sus distintas versiones
En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines