Título: Otra alternativa a para ocultar una api de los AV Publicado por: LeandroA en 13 Septiembre 2010, 09:48 am Hola me resulto curioso esto de declarar a las apis por su ordinal y bueno de la cosa es que los AV no detectan estas apis, lo malo es que dependiendo de la versión de la dll el ordinal puede cambiar. pero es otra buena alternativa.
una pequeña muestra Código: Option Explicit no estoy seguro si con los cambios de los SPx pueda cambiar yo solo compare por la version del SO Saludos. Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: azul27 en 13 Septiembre 2010, 13:07 pm Lo cierto es que no entiendo el funcionamiento y me interesa mucho.. si pudieras
poner otro ejemplo, expicado sería de gran ayuda Gracias! Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: fary en 13 Septiembre 2010, 15:09 pm Lo cierto es que no entiendo el funcionamiento y me interesa mucho.. si pudieras poner otro ejemplo, expicado sería de gran ayuda Gracias! Fijate bien como declara las api: Código: Private Declare Function URLDownloadToFile Lib "urlmon" Alias "#216" (ByVal pCaller As Long, ByVal szURL As String, ByVal szFileName As String, ByVal dwReserved As Long, ByVal lpfnCB As Long) As Long @LeandroA donde puedo ver ls ordinales de las api? salu2! Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: Karcrack en 13 Septiembre 2010, 17:18 pm El problema de los ordinales es que no son estaticos :-\... y claro, no sabemos cuando cambian... Asi que bien, se puede hacer la comprobacion que tu haces, pero para bien tendriamos que tener una buena lista de ordinales, ya que posiblemente tambien varien en las versiones para servidores y esas cosas....
Una formas mas bonita de sacar el MajorVersion: Código Sin estructuras ni leches :P Date cuenta que el MajorVersion para XP es el mismo que para W$2000 y W$2003... asi que hay que filtrar con mas detalle... Código: http://msdn.microsoft.com/en-us/library/ms724832(v=VS.85).aspx Saludos :) Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: burbu_1 en 13 Septiembre 2010, 17:50 pm Muy buena Leandro ;-) ;-) ;-), es un poco más jaleo que usar esos fantásticos Invoke que andan por ahí, pero seguro que resulta muy útil.
Una pregunta que igual se sale un poco del tema.... por qué se pone ese símbolo # delante del ordinal. Lo había visto con números muy grandes pero estos son bajitos :huh: donde puedo ver ls ordinales de las api? Con el PE Explorer abres la dll , miras las funciones que exporta y ahí aparecenTítulo: Re: Otra alternativa a para ocultar una api de los AV Publicado por: Karcrack en 13 Septiembre 2010, 19:40 pm Una pregunta que igual se sale un poco del tema.... por qué se pone ese símbolo # delante del ordinal. Lo había visto con números muy grandes pero estos son bajitos :huh: Cuando la almohadilla (#) va detras de un numero esto significa que es un Double... Pero fijate que lo que hay ahi es una cadena de texto "#XXX"... Y puesto asi lo que hace es especificar que se cargue la funcion por ordinal y no por nombre...Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: LeandroA en 13 Septiembre 2010, 19:45 pm las ordinales se pueden obtener del mismo Link.exe de visual basic fijate este ejemplo
http://www.recursosvisualbasic.com.ar/htm/listado-api/163-exportar-funciones-api-de-dll.htm @Karcrack esta mucho mas piola con GetVersion ;) yo solo lo testie con xp sp3 (vista y Seven en la pc virtual no se que spx) como ya dije no se si varian con las modificaciones de los spx, pero bueno esto es para usar solo con las apis problematicas con respecto a los AV Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: Dessa en 14 Septiembre 2010, 04:21 am Interesante Leandro, cada vez mas seguido estoy viendo codes con esta manera de declarar, me imaginé que venía por el lado de los AV ... confimado entonces.
Hice una comparacion rápida con Con XP-PRO SP2 y SP3, en kernel32: LoadLibrary = 578 (SP2) LoadLibrary = 581 (SP3) GetProcAddress = 408 (SP2) GetProcAddress = 409 (SP3) Karcrack: muy bonita esa Getversion, no habrá algo igual de bonita para la Minor ? Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: Karcrack en 14 Septiembre 2010, 15:17 pm Karcrack: muy bonita esa Getversion, no habrá algo igual de bonita para la Minor ? Código: (GetVersion() And &HFF00&) \ &H100 Título: Re: Otra alternativa a para ocultar una api de los AV Publicado por: Dessa en 15 Septiembre 2010, 00:22 am Buena Karcrack, mirá si será bonita... que hasta funciona en Windows millenium !!!
|