|
Título: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: .:UND3R:. en 23 Julio 2011, 19:08 pm Hola a todos bueno tengo una duda con esa parte y es que Ricardo comenta sobre
Citar TLS CALLBACK , nos dice como encontrarla con ollydbg(PE-HEADER) o con un PE Editor también nos dice que se puede poner un bp directamente en ella en las opciones del pluguins ollyadvance |v|TLS CALLBACKpero mi dudas son las siguientes: 1)¿para que sirve esta tabla? 2)Si el unpackme que se estaba analizando se requería que se iniciara desde system breakpoint, al estar detenido ahí por qué debe luego detenerse en TLS CALLBACK para luego poner un bpm on execution en la sección code? no sería mejor detenerse en breakpoint system y luego desde ahí poner un bpm on execution en la sección CODE? Muchas gracias por leer Saludos Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: tincopasan en 23 Julio 2011, 19:18 pm soy muy malo para los packers, y ese tutorial no lo vi, pero las tls callback son porciones de código que se ejecutan antes del Ep, execryptor por ejemplo tiene antes del Ep rutinas que detectan si tenes un bp puesto y te saca, detenerse en las tls te da la dirección para llegar al ep y no ser detectado por ejemplo. Es común poner código en las tls para antidebugger! o anti bp he etc!
Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: .:UND3R:. en 23 Julio 2011, 23:19 pm Algo he entendido de todas formas gracias, pero habrá algo más específico?
Saludos Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: karmany en 24 Julio 2011, 00:05 am Hace unos días The Swash hizo un tutorial sobre las TLS CALLBACK que colgué en mi Web por si te sirve:
Tutorial TLS CALLBACK por The Swash (http://www.karmany.net/index.php/ingenieria-inversa/19-ingenieria-inversa-novatos/32-infeccion-tls-callback) Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: .:UND3R:. en 24 Julio 2011, 00:46 am Lo leeré detalladamente
Saludos y muchas gracias Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: .:UND3R:. en 24 Julio 2011, 01:33 am Ahora me surge el problema de que al estar ubicado en la TLS CALLBACK borro todos los bp y pongo un bpm on execution pere este lleva horas y todavía no se detiene
Saludos Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: _Enko en 24 Julio 2011, 05:10 am Puedes poner un bp normal, solo que tienes que saber donde esta la funcion callback.
Si sabes que esta por ejemplo en 403044, haces bp 403044 y listo. Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: .:UND3R:. en 24 Julio 2011, 08:23 am Creo que se mal escribí mi pregunta me refería para encontrar el OEP no el TLS CALLBACK es decir me encuentro en el TLS CALLBACK detenido en el pero al estar ahí cuando pongo un bpm execution este a la sección code, este no se detiene nunca
Saludos Título: Re: Duda parte 54 Ricardo narvaja tabla TLS CALLBACK Publicado por: _Enko en 25 Julio 2011, 15:41 pm Cuando salgas del TLS callback, no vas a aterizar en el OEP, sino en el EP.
El metodo de buscar OEP siguen siendo los mismos de siempre, la unica diferencia, que por ejemplo el VirtualAlloc, o VirtualProtect este antes del EP en el TLS. |