 Autor
|
Tema: No entiendo la analogía de los STOLEN BYTE de PESPIN (Leído 6,939 veces)
|
|
.:UND3R:.
|
Bueno en el tutorial ricardo narvaja explica algo más o menos así: Vemos alli que antes de correr el programa, el stack esta en mi maquina en 12ffc4, quiere decir que
si cuando llega al verdadero OEP el stack esta en la misma posicion o sea en 12FFc4, la primera
sentencia que podria ser PUSH EBP se escribira en 12ffc0 justo arriba de esta, asi que busquemos
12FFc0 en el dump y pongamosle un HARDWARE BPX ON WRITE a ver si nos da resultado,
puede que si puede que no, pero el razonamiento es logico. Por que se escribe justo arriba de la misma? si se supone que el primer comando sería PUSH EBP y en la dirección 12FFc4 si alguien lo explica bien se los agradecería saludos |
|
|
|
|
En línea
|
 Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM) |
|
|
|
|
|
.:UND3R:.
|
Sigo sin entender osea ricardo cuando llega al falso oep (stolen byte) le marca que está en 12FFc4 (posición de la pila normal) pero si se ve detenidamente se nota que hay stolen byte eso lo entiendo claramente pero mi pregunta es por que busca en 12FFc0 deciendo que ahí se debería ejecutar un push ebp
Gracias por la paciencia
|
|
|
|
|
En línea
|
Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
|
|
|
|
_Enko
|
dejame adivinar... mh...
despues de que dice que el stolen byte es "push ebp"...
la siguiente instruccion cual es? "mov ebp, esp"?
|
|
|
|
|
En línea
|
|
|
|
|
.:UND3R:.
|
Así es efectivamente pero no logro entender lo que comenté anteriormente
|
|
|
|
|
En línea
|
Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
|
|
|
|
.:UND3R:.
|
No entiendo lo de la pila osea si parte en 12FFc4 y cuando encuentro el falso oep está en 12FFc4 quiere decir que anteriormente ya realizó operaciones, eso me queda claro pero el problema surge ahora que por qué empieza a buscar en 12FFc0 siendo que son muchos stolen bytes no entiendo el por qué de buscar ahí
|
|
|
|
|
En línea
|
Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
|
|
|
|
_Enko
|
porque es la entrada normal a un procedimiento push ebp
mov ebp, esp
Los enpaquetadores convierten la ejecutable en una rutina para poder ejecutarla. La entrada a cualquier procedimiento comienza normalmente con push ebp
mov ebp, esp
sub esp, SIZEOF(LOCAL VAR)
por eso se puede adivinar cual es la intruccion original en este caso y supongo en muchos otros. Porque busca alli? Ni idea, en el caso. Pero la idea de conseguir saber cuales son los stolen bytes pasa por encontrar la entrada original de la ejecutable. Segun el compilador, suelen hacerlo siempre de la misma manera. Por ejemplo, en este caso, calculo que el programa esta hecho con c++. |
|
|
|
« Última modificación: 30 Junio 2011, 00:17 am por _Enko »
|
En línea
|
|
|
|
|
|
|
_Enko
|
no me he puesto a desempaquetar programas, asi que ni idea.
lo unico que se me ocurre es que push ebp, restaria 4 al stack, por eso el stack original comienzaria en -4 despues del push (en esa direccion se encuentra el ret al kernel)
|
|
|
|
« Última modificación: 30 Junio 2011, 05:41 am por _Enko »
|
En línea
|
|
|
|
|
.:UND3R:.
|
Pero no se supone que el inicio está justo antes de ejecutar el push ebp y no después que se ejecutó?
osea el programa parte así según mi entender
Push ebp
mov ebp, esp
12FFC4
|
|
|
|
|
En línea
|
Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
|
|
|
|
| Mensajes similares |
|
Asunto |
Iniciado por |
Respuestas |
Vistas |
Último mensaje |
|
|
|
Como puedo identificar los Stolen Bytes ?
Ingeniería Inversa
|
tena
|
0
|
1,907
|
20 Agosto 2005, 17:54 pm
por tena
|
|
|
|
Windows GNU/Linux: Analogia en Particiones
GNU/Linux
|
9ttnix
|
2
|
3,326
|
31 Octubre 2011, 13:09 pm
por 9ttnix
|
|
|
|
ayuda stolen bytes
Ingeniería Inversa
|
mario86
|
1
|
2,661
|
22 Abril 2012, 11:03 am
por karmany
|
|
|
|
Los Stolen Bytes del PELock1.06.d.exe
« 1 2 »
Ingeniería Inversa
|
ViejoMajara
|
11
|
6,968
|
24 Enero 2015, 17:16 pm
por MCKSys Argentina
|
|
|
|
constexpr .. alguna analogia que lo explique mas facil ?
« 1 2 »
Programación C/C++
|
digimikeh
|
11
|
4,593
|
15 Junio 2019, 19:11 pm
por digimikeh
|
 |
