elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Tutorial básico de Quickjs


+  Foro de elhacker.net
|-+  Programación
| |-+  Ingeniería Inversa (Moderadores: karmany, .:UND3R:., MCKSys Argentina)
| | |-+  Modificar el Olly como API monitor?
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Modificar el Olly como API monitor?  (Leído 3,566 veces)
x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Modificar el Olly como API monitor?
« en: 14 Mayo 2012, 07:36 am »

Hola a todos :)
Bueno se me ocurrio saber si es posible crear un tipo de API monitor que muetre todas las llamadas en el log del Olly :P
es posible esto seria una gran herramienta :)
En línea

apuromafo CLS


Desconectado Desconectado

Mensajes: 1.441



Ver Perfil WWW
Re: Modificar el Olly como API monitor?
« Respuesta #1 en: 14 Mayo 2012, 07:43 am »

de primera parece buena idea, pero para eso existen los api monitor como el de kakeware.com
por el otro lado, siempre es bueno usar los bp condicionales, y desde el scripting puedes espiar casi cualquier api, sobre todo virtualprotect en los empacados ^^

saludos Cordiales
APuormafo

amm:
pd:
API Monitor KaKeeware
http://kakeeware.com/i_kam.php

En línea

Apuromafo
x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Re: Modificar el Olly como API monitor?
« Respuesta #2 en: 14 Mayo 2012, 07:57 am »

Si la verdad es que e probado muchos API monitors y funcionan pero es molesto tener
dos programas ( el olly y el spy monitor ) el cual carga un driver para capturarlas todas
me pareceria super comodo y una super herramienta utilizar el olly como tal cosa :P

yo puse un break en una API que no se detuviera sino que me mostrara informacion en el log de olly
y funciono perfecto pero eso todo el mundo sabe como hacerlo y luego se me ocurrio hacerlo con todo
un modulo completo por ejemplo user32, etc

bueno no seria poner break point a todas las entradas de las APIs :P seguramente debe de haber una
forma para hacerlo automatico, luego se me ocurrio poner un break en el modulo que queria pero joder
me capturaba hasta los accesos a instrucciones o datos de modulo hahaha

gracias apuromafo por tu respuesta.

algun trucos gentee? =D
En línea

ThunderCls


Desconectado Desconectado

Mensajes: 455


Coder | Reverser | Gamer


Ver Perfil WWW
Re: Modificar el Olly como API monitor?
« Respuesta #3 en: 14 Mayo 2012, 20:52 pm »

Lo mas probable es que con algun script se pueda automatizar esa tarea (no se...no soy un script writer), quizas se tendria que revisar la IAT de cada modulo cargado y poner un LBP en sus respectivas direcciones. Tambien esta el tema de los modulos cargados en tiempo de ejecucion, que ya esto es otra historia, pues habria que trabajar con el resultado de LoadLibrary/A/W/Ex
En línea

-[ "…I can only show you the door. You're the one that has to walk through it." – Morpheus (The Matrix) ]-
http://reversec0de.wordpress.com
https://github.com/ThunderCls/
x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Re: Modificar el Olly como API monitor?
« Respuesta #4 en: 15 Mayo 2012, 00:06 am »

Bueno aver quien puede ayudar :P
En línea

x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Re: Modificar el Olly como API monitor?
« Respuesta #5 en: 17 Mayo 2012, 04:34 am »

gente encontre una forma de poner un break en todas las funciones ahora creo que me da error porque
muchos breakpoint jaja
carga exe,alt +e,buscar modulo, doble click, click derecho, search for > all intermodular calls, click derecho,set breakpoint on every.

creo que estamos cerca no? :D ayuda  :xD
yo no me puedo del todo al olly...  :xD
En línea

.:UND3R:.
Moderador Global
***
Desconectado Desconectado

Mensajes: 3.118


Ingeniería inversa / MASM


Ver Perfil WWW
Re: Modificar el Olly como API monitor?
« Respuesta #6 en: 23 Mayo 2012, 18:51 pm »

Yo pondría un Memory Break point on access, en toda la IAT, con esto tendrás un monitoreador de APIS. Saludos
En línea


Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines