elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Guía rápida para descarga de herramientas gratuitas de seguridad y desinfección


+  Foro de elhacker.net
|-+  Programación
| |-+  Ingeniería Inversa (Moderadores: karmany, .:UND3R:., MCKSys Argentina)
| | |-+  Como conocer el offset de una direccion en Ollydbg?
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] 2 Ir Abajo Respuesta Imprimir
Autor Tema: Como conocer el offset de una direccion en Ollydbg?  (Leído 10,482 veces)
Tinkipinki

Desconectado Desconectado

Mensajes: 242



Ver Perfil
Como conocer el offset de una direccion en Ollydbg?
« en: 9 Septiembre 2011, 18:13 pm »

Hola todos:
Pues eso... ¿Como conocer el offset de una direccion?
Por ejemplo, nos encontramos en
Código:
004012DC  7416  JE SHORT 004012F4

¿Se podria hacer un script para encontrarlo?....Si es posible este seria un reto perfecto para .:UND3R:.... :silbar:

Saludos
En línea

Иōҳ


Desconectado Desconectado

Mensajes: 563


Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #1 en: 9 Septiembre 2011, 18:25 pm »

Justo lo mismo preguntaron en CLS (eso creo).

Te pego lo que dijo Guan de dio:
Citar
casi caulquier editor PE tiene una calculadora para esos
fines, el que ya te han comentado o por ejemplo el LordPe que es otro
de los más usados.

A mano sería

  - Offset RAW: Dirección en disco
  - Offset RVA : dirección relativa en memoria
  - VA:             Dirección absoluta en memoria

  VA = RVA + ImagenBase (lo que suele mostrar el Olly)

  El offset RAW se calcula así:

 Lo primero es identificar en que sección se encuentra el VA. Para
ello lo mejor es transformar el VA en RVA, ya que los editores
muestran la información de las secciones en RVA

   RVA = VA (dirección de Olly) - Imagen Base

  Con esto te quedas con las direcciones

   RVA inicio de sección
   Offset RAW inicio de sección

   Y las cuentas son:

     Offset RAW = (RVA - RVA inicio de sección) + offset RAW comienzo de sección

Todo esto está explicado en la introducción de Ricardo que te recomiendo leas.

Saludos,
GUAN

Pd: Creo que con eso queda bien explicado je, y me ahorre de escribirlo yo :)

Nox.
En línea

Eres adicto a la Ing. Inversa? -> www.noxsoft.net
.:UND3R:.
Moderador Global
***
Desconectado Desconectado

Mensajes: 3.118


Ingeniería inversa / MASM


Ver Perfil WWW
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #2 en: 9 Septiembre 2011, 18:36 pm »

en que capítulo exactamente aparece eso?
En línea


Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
Иōҳ


Desconectado Desconectado

Mensajes: 563


Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #3 en: 9 Septiembre 2011, 18:45 pm »

en que capítulo exactamente aparece eso?

Sí yo también me pregunte lo mismo...

y no se si lo dirá.

Pero con estudiar el Formato PE, ya te aclara todo eso :P.

Nox.
En línea

Eres adicto a la Ing. Inversa? -> www.noxsoft.net
Tinkipinki

Desconectado Desconectado

Mensajes: 242



Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #4 en: 9 Septiembre 2011, 21:29 pm »

Gracias Иōҳ y .:UND3R:.  por vuestras respuestas.

Con el ejemplo de GUAN muy bien explicado como calcularlo manualmente pero si se pudiera hacer con un script o plugin y tener el dato al instante con solo posicionarte el la direccion pues seria mas rapido....y asi ingresar en el club de la vagancia je je .. >:D

Saludos
En línea

Иōҳ


Desconectado Desconectado

Mensajes: 563


Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #5 en: 9 Septiembre 2011, 21:33 pm »

Gracias Иōҳ y .:UND3R:.  por vuestras respuestas.

Con el ejemplo de GUAN muy bien explicado como calcularlo manualmente pero si se pudiera hacer con un script o plugin y tener el dato al instante con solo posicionarte el la direccion pues seria mas rapido....y asi ingresar en el club de la vagancia je je .. >:D

Saludos

Bueno son simple operaciones, que seguro se pueden implementar en un script.

Nox.
En línea

Eres adicto a la Ing. Inversa? -> www.noxsoft.net
apuromafo CLS


Desconectado Desconectado

Mensajes: 1.441



Ver Perfil WWW
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #6 en: 9 Septiembre 2011, 23:06 pm »

estudiar el PE, nada mas que la imagebase y al modulo que pertenece..

si es por ir a la direccion bastaria que fuera al eip

mov eip, 4012dc  o bien

los comandos findop, findmem, o findcmd  para buscar esa variable mediante comando opcode y otros, recuerda el gci para encontrar mas informacion , gn si es algo mas

luego compararias el destino con algo...

004012DC->direccion, si la imagebase es 00400000 luego el offset seria
-*>12DC

no se..que quieren encontrar..pero un salto no es mucho, mejor es un orden..y cada cosa se da
En línea

Apuromafo
Tinkipinki

Desconectado Desconectado

Mensajes: 242



Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #7 en: 10 Septiembre 2011, 19:18 pm »

Hola apuromafo

Utilidad, utilidad creo que tiene poca solo era para hacer las modificaciones de saltos directamente en un editor hexadecimal, para encontrar por ejemplo la linea de codigo del JMP y para hacer eso nos hace falta saber el offset... creo

Saludos
En línea

Tinkipinki

Desconectado Desconectado

Mensajes: 242



Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #8 en: 10 Septiembre 2011, 19:51 pm »

Solo para vagos.... :silbar:

Si buscamos la direccion 004012DC del ejemplo del principio con el W32DSM, al posicionarnos sobre la direccion en la barra inferior nos aparece el offset.
La solucion no es mia ni mucho menos, esta sacada de internet.

Saludos
En línea

Tinkipinki

Desconectado Desconectado

Mensajes: 242



Ver Perfil
Re: Como conocer el offset de una direccion en Ollydbg?
« Respuesta #9 en: 10 Septiembre 2011, 20:20 pm »

Me surge otra duda:

Si tenemos un programa con el principio de codigo en el Olly por ejemplo en 401000 con un offset 400 pero mas arriba en el Olly no hay codigo pero estamos en el offset 400 per en el editor hex de 400 a 000 hay mas codigo.
¿Pues donde se encuentran estas lineas de codigo que faltan pertenecientes sa las cabeceras en el Olly?

Saludos
En línea

Páginas: [1] 2 Ir Arriba Respuesta Imprimir 

Ir a:  

WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines