Hola Kerokp,

Mira como bien te dijeron la opción mas rápida seria descargar uno ya creado(por internet hay muchísimos), claro esta que te lo puedes bajar infectado o no, pero eso es un riesgo que creo que nos pasa a todos cuando decidimos descargarnos algo y mas si el sitio donde se accede no suele ser de confianza...Si lo que deseas es aprender a crear un troyano te aconsejes que aprendas un lenguaje que te lo permita, luego también tendrás que tener conocimientos sobre conexiones y algo de servicios sobre el lenguaje "sockets".

¿la ingeniería social e instalar directamente el troyano en la pc objetivo son la única manera de infectar a la victima?

La respuesta es no, hay mas técnicas de infección que no son precisamente por medio de un troyano, que tengas que enviar un server directamente y este tenga que aceptar. Puedes buscar una vulnerabilidad en la pc que desees vulnerar por medio de recolección de información(búsqueda de servicios que esta corriendo, programas sin parchear que haga uso, etc.) y una vez tengas la información suficiente como para preparar un vector de ataque es cuando lanzarías un exploit...

Un saludo!

Hola 7446,

Has probado en iniciar primero MySQL y luego Apache?, en ese orden.

Un saludo.

Hola  Eternal Idol,

Exception Dispatcher Stack: el mismo nombre lo dice, no es la pila original donde se produjo la excepción, sino la que se usa para manejar la misma.

Con la pila te refieres a otro marco(contexto) de pila no? es decir al stack frame generado por el SEH HANDLER no?

Pues eso que es el EstablisherFrame cuando se trata de un exploit basado en SEH?

Leyendo el tutorial 3a que habla de SEH aparece un concepto llamado EstablisherFrame y
no se exactamente a que se refiere.

Se que una función/método reserva su propio espacio en la pila para hacer uso de ella, según dice Vivek  Ramachandran y Corelan comenta que los propios manejadores de excepciones SE HANDLER también reservan su propio espacio en la pila y es hay donde habla de este termino ademas del "Exception Dispatcher Stack".

Un saludo!

---

 El funcionamiento de las excepciones lo entiendo, el problema viene cuando Corelan dice que los Exception-Registration_Record del hilo o proceso están en posiciones de la pila mas altas, es decir abajo del todo, ademas dice que una función/método tiene su propio espacio en la pila(hasta aquí todo normal) el problema viene cuando dice que el Exception-Registration_Record tiene su propio espacio de pila, cosa que da a entender que esta en un marco de pila aislado del marco de la función(con su propio prologo/epilogo), cosa que Vivek Ramachandran dice en sus vídeos, que estos registros Exception-Registration_Record están dentro del mismo espacio de pila que la función que lo contiene y para ser mas exactos entre las variables locales y el registro EBP salvado de la función llamadora.

Y que hay de esos dos términos que mencionan los cuales hay poca información sobre ellos:

    EstablisherFrame
    Exception Dispatcher Stack

---

Nadie puede ayudarme?


[MOD] No se debe hacer doble, triple post, usa el botón "modificar" para añadir comentarios.

Pues la gran duda que tenia ya me la has resuelto al decirme que mi suposiciones eran correctas.

Podemos dar el tema como correcto, gracias Eternal Idol!

Era lo que me suponía, por cierto yo tras obtener la dirección del modulo kernel32 y ponerla en el registro ebx, si imprimo esa dirección junto a la que me devuelve la función GetModuleHandleA() observo que la misma dirección.

Eternal Idol lo que necesito es una confirmación mas que nada,

Las 3 listas doblemente enlazadas son del tipo LIST_ENTRY y como tal estructura es como bien dices:

0:000> dt ntdll!_LIST_ENTRY
   +0x000 Flink            : Ptr32 _LIST_ENTRY
   +0x004 Blink            : Ptr32 _LIST_ENTRY

Que al seleccionar una de las listas ya estaría apuntando a _LDR_DATA_TABLE_ENTRY por que su desplazamiento es de +0x000?

Eso es lo único que necesito saber ya que de ser así ya encontraría sentido al comentario este:

mov ebx, [ ebx + 0x14 ]   // get PEB->Ldr.InMemoryOrderModuleList.Flink (1st entry)

Al hacer el desplazamiento de 0x14 por que esta haciendo un Flink? y como que llega a _LDR_DATA_TABLE_ENTRY?

Dios que mal me explico

Ami si que me da la dirección de kernel32 ya que esta en la tercera entrada:

1ª Entrada = proceso
2ª Entrada = ntdll
3ª Entrada = kernel32

Haciendo uso de la lista InMemoryOrderModuleList si que me pone en ebx la direccion de kernel32.dll

mov ebx, [ ebx + 0x10 ]    // get the 3rd entries base address (kernel32.dll)

0:000> dt nt!_LDR_DATA_TABLE_ENTRY
ntdll!_LDR_DATA_TABLE_ENTRY
   +0x000 InMemoryOrderLinks : _LIST_ENTRY
   +0x008 InInitializationOrderLinks : _LIST_ENTRY
   +0x010 DllBase          : Ptr32 Void
   +0x014 EntryPoint       : Ptr32 Void
   +0x018 SizeOfImage      : Uint4B
   +0x01C FullDllName      : _UNICODE_STRING
   +0x024 BaseDllName      : _UNICODE_STRING


Pero como digo la direccion de kernel32 la obtengo pero no contento con eso quiero saber como se obtenia y mi duda es la lina esta ya que me confunde su comentario.

mov ebx, [ ebx + 0x14 ]    // get PEB->Ldr.InMemoryOrderModuleList.Flink (1st entry)

Si con el desplazamiento 0x14 únicamente me selecciona la lista, por que ya esta en la primera entrada haciendo uso de Flink?

Te pido disculpas Eternal Idol enserio si te ha ofendido, pensé que al ser ensamblador podríais ayudarme.

Veras en el ejemplo que pongo en ensamblador hace uso de la lista InMemoryOrderModuleList(en el fondo me da igual utilizar esa u otra lista), esta si que tiene la dirección base en el desplazamiento de 0x010 de la tabla _LDR_DATA_TABLE_ENTRY, pero mi problema no es eso si no como enlazar la lista InMemoryOrderModuleList con la tabla _LDR_DATA_TABLE_ENTRY por medio de Flink.

Yo lo he llevado a la practica y veo que al realizar el desplazamiento que pongo ya estaría en la primera entrada si saber por que se hace uso de Flink.

pd: Como digo me da igual la lista que seleccione lo único que necesito que me digáis es si lo estoy haciendo bien ya que mi experiencia en dicha practica me lleva a pensar que al seleccionar la una lista ya me llevaría a la primera entrada ya que la lista es del tipo LIST_ENTRY y esta en su desplazamiento de 0 ya estaría apuntando directamente a _LDR_DATA_TABLE_ENTRY.

mov ebx, [ ebx + 0x14 ]    // get PEB->Ldr.InMemoryOrderModuleList.Flink (1st entry)         -----Aquí-----

En esa linea se hace un desplazamiento de 0x14 la cual selecciona la lista InMemoryOrderModuleList...Por que en el comentario pone que hace uso de Flink? y ademas dice que ya esta en la primera entrada(_LDR_DATA_TABLE_ENTRY)?

Mi problema es el uso de Flink, que como digo no se especifica en ningún lado.

Espero que se me haya entendido, por que de verdad no se si me explico bien o hago llegar a entender lo que pretendo explicar.

Alguien que me diga si estoy en lo cierto o no, solo pido eso