Título: CallAPIByName usando solamente rtlMoveMemory Publicado por: cobein en 14 Junio 2009, 02:16 am Bueno, un dia despues de muchas birras se me ocurrio la genial idea de hacer un CallAPIByName usando solamente rtlMoveMemory, hasta ahi todo genial... pero bueno despues de pelarme el 0r70 por varias semanas intentando resolver diferentes problemas logre hacerlo funcionar! =D
Usa un monton de magia negra para resolver diferentes cosas ... pero en fin funciona o eso creo. Testeado en XP y Vista compilado en P-Code y Codigo Nativo. http://www.advancevb.com.ar/wp-content/2009/06/Call-API.rar Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: el_c0c0 en 14 Junio 2009, 02:51 am muy bue aporte cobein.. siempre fumando de la buena para llegar a esto...
offtopic: XD con tu firma! Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: Karcrack en 14 Junio 2009, 09:56 am Funciona perfectamente ;D A ver si luego puedo revisarlo en W7... por lo visto en Vista dicen que falla :silbar:
Por cierto, te quedo muy bien el rediseño de tu web ;D Saludos ;) Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: cobein en 14 Junio 2009, 10:45 am Si, en realidad no falla en vista, falla ... la verdad no lo testie demasiado pero cuando llamas a cualquier funcion que involucre memoria... en realidad creo que es cuando pasa un puntero como byref. Pero vuelvo a repetir no estoy seguro, me tengo que poner a debuguear esto de a poco. Estoy seguro que el problema esta en en el ASM de la funcion Invoke.
Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: Karcrack en 15 Junio 2009, 19:17 pm He estado probando códigos que usan la memoria... (Aquel que hice para sacar el Path del PEB) que usa GetMem1 y CallWindowProc y funciona perfecto... a ver si encuentro algún código que use RtlMoveMemory por aquí...
MOD1: Vale, el problema esta por lo visto solo al usar RtlMoveMemory (Lo prove con el codigo de HideDLL de Cobein)... voy a ver por que :P MOD2: Vale, el problema es que llamas a la posición de la cadena "NTDLL.RtlMoveMemory" (http://img44.imageshack.us/img44/5782/56741573.th.png) (http://img44.imageshack.us/img44/5782/56741573.png) MOD3: Como tu decías el problema esta en el código que metes en zDoNotCat... A ver si puedo debuggear ahí :xD Saludos :D PD:Cuantos MODs NO? :laugh: :laugh: Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: Karcrack en 16 Junio 2009, 18:19 pm SOLUCION:
Reemplazar la funcion CallAPI por esta: Código
El problema reside en que las funciones de memoria que hay en KERNEL32 dan problema... pero en cambio las de NTDLL que son IGUALES no lo hacen.... asi que bueno, cuando es una funcion de memoria simplemente se cambia la DLL y asi funciona... Esta es una solucion chapucera hasta que Cobein encuentre el verdadero error...que imagino que esta en el EP de KERNEL32, ya que al Olly le pasa parecido cuando cargas solo la DLL :-\ Saludos ;D Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: Arkangel_0x7C5 en 16 Junio 2009, 23:28 pm no es un error, a GetProcAddress también le pasa eso. La solución si te fijas es buscar el '.' para saber de que dll es y hacer otra llamada con los datos correctos. yo tengo la solución, pero este no es el lugar para colocar el code.
Saludos Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: cobein en 16 Junio 2009, 23:37 pm Sep tienen razon, ya corregi el getprocaddress, es por las funciones forwardeadas pero ya lo arregle. Cuando termine de testear todo lo subo.
Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: Swellow en 9 Noviembre 2011, 00:07 am Can anyone reupload this please? :D
Título: Re: CallAPIByName usando solamente rtlMoveMemory Publicado por: scapula en 9 Noviembre 2011, 08:52 am http://cobein.com/wp/wp-content/2009/06/Call-API.rar
|