Título: Pattern Scanner Publicado por: Karman en 6 Marzo 2011, 09:56 am Un Pattern Scanner es una función capaz de "encontrar" algo que nos interesa en un módulo externo (puede utilizarse incluso sobre otro proceso aunque ya es más complicado) sin importar la versión de ese módulo (dll,exe,etc.), la única condición para que nuestro Pattern Scanner funcione es que lo que tomamos de referencia no varíe en las distintas versiones de dicho módulo.
Lo primero que se debe hacer es definir que se quiere obtener (esto puede ser una variable o función de dicho módulo del cual no se tengan referencias para llegar), para hacerlo se puede hacer uso de ingeniería inversa (o sea, desensamblar el módulo). Veamos un ejemplo (en nuestro propio módulo con el fin de visualizarlo): creamos un simple programa con una sola función: Código
abrimos nuestro programa con ollydbg y buscamos nuestra función: Código
en base a este código ASM crearemos un "patron" que nos lleve a dicha función (nuestro objetivo en este caso será modificar el mensaje) Citar 55 PUSH EBP 89E5 MOV EBP, ESP 83EC 18 SUB ESP, 18 C74424 0C 00000000 MOV DWORD PTR SS:[ESP+C], 0 ; | C74424 08 00204000 MOV DWORD PTR SS:[ESP+8], generico.0>; |ASCII "titulo" C74424 04 07204000 MOV DWORD PTR SS:[ESP+4], generico.0>; |ASCII "un mensaje" C70424 00000000 MOV DWORD PTR SS:[ESP], 0 ; | E8 86080000 CALL <JMP.&USER32.MessageBoxA> ; \MessageBoxA 83EC 10 SUB ESP, 10 C9 LEAVE C3 RETN lo que está en rojo será nuestro patrón (se lo puede complicar más, y es preferible, pero para nuestro ejemplo servirá), por lo tanto generamos una función que lo detecte: Código
Un detalle a destacar de la función es que &p[26] nos devolverá la dirección de memoria de la instrucción, pero no de la variable, entonces mediante el *(void**) obtendremos la verdadera dirección. Ahora ya podemos escanear nuestro código, y en caso de encontrar nuestra variable modificarla: Código
Solo cabe aclarar que en el caso de modificar un string la variable original debe ser de un tamaño adecuado para nuestra modificación. S2 PD: El ejemplo fue compilado con Mingw (GCC), es casi seguro que no funcione en otros compiladores (VC, etc), para hacerlo funcionar hay que rearmar el patrón. PD2: Existen librerías que permiten buscar patrones de forma más sencilla, como por ejemplo (formato olly): Código
pero lo que hacen al fin y al cabo es lo mismo. |