elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: AIO elhacker.NET 2021 Compilación herramientas análisis y desinfección malware


+  Foro de elhacker.net
|-+  Programación
| |-+  Ingeniería Inversa (Moderadores: karmany, .:UND3R:., MCKSys Argentina)
| | |-+  Parámetros de funciones en un DLL.
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: 1 [2] Ir Abajo Respuesta Imprimir
Autor Tema: Parámetros de funciones en un DLL.  (Leído 8,851 veces)
APOKLIPTICO


Desconectado Desconectado

Mensajes: 3.871


Toys in the attic.


Ver Perfil
Re: Parámetros de funciones en un DLL.
« Respuesta #10 en: 8 Noviembre 2010, 19:25 pm »

Sorry pero no voy a subir la dll, no quiero que me den la respuesta así tan facilmente, jejeje.
Lo que realmente me extraña, es que no haya un programa que se attachee a un ejecutable, vea todas las Calls y logee todos los parámetros pasados a las mismas...
Ya saqué la mayoría de las funciones que necesito, pero me falta aún una.
Bueno, estuve analizando un poco, y aki tienen un pedacito de código de la call y del inicio de la función:
Se que se le pasan 3 parámetros y que se reservan 392 bytes de memoria local.

Estas son las primeras líneas de la función.
Código
  1. 100128C0 > 81EC 88010000    SUB ESP,188
  2. 100128C6   53               PUSH EBX
  3. 100128C7   56               PUSH ESI
  4. 100128C8   57               PUSH EDI
  5. 100128C9   6A 01            PUSH 1
  6.  

Y estas son unas líneas antes de la CALL.
Código
  1. 0051F630   . 53             PUSH EBX
  2. 0051F631   . 56             PUSH ESI
  3. 0051F632   . 8BF1           MOV ESI,ECX
  4. 0051F634   . 57             PUSH EDI
  5. 0051F635   . 8B06           MOV EAX,DWORD PTR DS:[ESI]
  6. 0051F637   . FF90 98000000  CALL DWORD PTR DS:[EAX+98]
  7. 0051F63D   . 85C0           TEST EAX,EAX                            ;Esto debe dejar la flag "Z" en 0. A menos que haya un error.
  8. 0051F63F   . 75 0F          JNZ SHORT Exe.0051F650                   ;Entonces esto no se ejecuta.
  9. 0051F641   . 8A4E 40        MOV CL,BYTE PTR DS:[ESI+40]
  10. 0051F644   . 51             PUSH ECX
  11. 0051F645   . E8 EA8B0100    CALL <JMP.&DLL.#2>
  12. 0051F64A   . 8BF8           MOV EDI,EAX
  13. 0051F64C   . 85FF           TEST EDI,EDI
  14. 0051F64E   . 7C 2D          JL SHORT Exe.0051F67D
  15. 0051F650   > 8B5C24 10      MOV EBX,DWORD PTR SS:[ESP+10]   ;Parametro???
  16. 0051F654   . 6A 00          PUSH 0
  17. 0051F656   . 53             PUSH EBX
  18. 0051F657   . C703 94000000  MOV DWORD PTR DS:[EBX],94        ;Parametro???
  19. 0051F65D   . 8A56 40        MOV DL,BYTE PTR DS:[ESI+40]          ;Parametro???.
  20. 0051F660   . 52             PUSH EDX
  21. 0051F661   . E8 C88B0100    CALL <JMP.&DLL.#1> ;Esta es la intermodular call a la funcian en cuestion.
  22.  

Si alguien me puede hechar un poco de claridad en esto, me encontré con un callejón sin salida y no se como continuar, también si alguien postea la respuesta, por favor expliquen como llegaron hasta ahi, así lo tengo presente para futuras situaciones.

Muchas gracias!!!
En línea

AMD Phenom II 1075T X6 @ 290 Mhz x 11 (HT 2036 Mhz NB Link 2616 Mhz) 1.23 Vcore
ASUS M4A89GTD-PRO/USB3
2x2gb G-Skill RipjawsX DDR3 1600 Mhz CL7 (7-8-7-24-25-1T)
Seagate 500 Gb
XFX HD4850 512Mb GDDR3. 650 Mhz/995 Mhz 1.1 Tflops.
tena


Desconectado Desconectado

Mensajes: 668



Ver Perfil
Re: Parámetros de funciones en un DLL.
« Respuesta #11 en: 9 Noviembre 2010, 01:34 am »

Fijate como llama el programa a  la funcion de la dll, luego podrias usar el hexrays de ida para ver el pseudocodigo de la llamada a la la funcion.

slds
En línea

Иōҳ


Desconectado Desconectado

Mensajes: 563


Ver Perfil
Re: Parámetros de funciones en un DLL.
« Respuesta #12 en: 9 Noviembre 2010, 17:59 pm »

Justo iba a comentar lo que tena dijo IDA, se que tiene un plugin para verlo en pseudocodigo... ( aunque nunca lo he usado), tengo el mismo problema para ver parametros que tu( cuando busco parametros en una dll de un game u.u), en algunas ocasiones, y sobre el programa que mencionas, el cheatengine lo hace, attach process y en memory view en una de sus opciones dice enumerate dll o algo asi, donde te da todos los modulos que carga y las funciones con sus respectivos parametros.
En línea

Eres adicto a la Ing. Inversa? -> www.noxsoft.net
APOKLIPTICO


Desconectado Desconectado

Mensajes: 3.871


Toys in the attic.


Ver Perfil
Re: Parámetros de funciones en un DLL.
« Respuesta #13 en: 9 Noviembre 2010, 19:21 pm »

Ya lo solucioné (lo encontré por internet después de mucho tiempo).
El problema es que IDA te baja los parámetros de las funciones conocidas, entonces, puede parecer como que las averigua, cuando solo está descargándolas del PDB...
En línea

AMD Phenom II 1075T X6 @ 290 Mhz x 11 (HT 2036 Mhz NB Link 2616 Mhz) 1.23 Vcore
ASUS M4A89GTD-PRO/USB3
2x2gb G-Skill RipjawsX DDR3 1600 Mhz CL7 (7-8-7-24-25-1T)
Seagate 500 Gb
XFX HD4850 512Mb GDDR3. 650 Mhz/995 Mhz 1.1 Tflops.
Páginas: 1 [2] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
[MySQL] Funciones con parámetros infinitos
Bases de Datos
raul338 3 4,038 Último mensaje 22 Octubre 2011, 00:50 am
por Shell Root
Bash; Pasaje de arreglos como parametros a funciones
Scripting
astinx 1 4,973 Último mensaje 29 Octubre 2011, 20:24 pm
por astinx
Duda de parametros a funciones
Programación C/C++
EmiRetamar 1 1,780 Último mensaje 18 Agosto 2012, 20:40 pm
por Ferno
Párametros de funciones
Programación C/C++
LauraD 3 2,388 Último mensaje 11 Junio 2014, 18:03 pm
por leosansan
Sobre paso de parámetros y retorno de funciones
ASM
ivancea96 6 3,630 Último mensaje 12 Agosto 2014, 19:34 pm
por Eternal Idol
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines