El tema ha sido movido a Seguridad.

http://foro.elhacker.net/index.php?topic=361268.0

La forma de leer el PEB habitual junto con otros factores hacía que los AVs detectasen mi binario... así pues busqué formas diferentes de leer el PEB, y esta me ha gustado especialmente. Muy ofuscada.

[FASM]

   push $30     ;v
   pop  ebx     ;>EBX = 0x30
   mov  cl, 4   ;>CL  = 4
 
@@:mov  al, cl  ;>AL  = CL        <<<
   db   $64     ;v                  ^
   xlatb        ;>AL  = FS:[EBX+AL] ^
   shl  eax, 8  ;>EAX <<= 8         ^
   loop @B      ;>>>>>>>>>>>>>>>>>>>^ (--ECX>0)?

Está comentado para que haya la mínima duda posible. Cualquier cosa preguntad.

---

---

Añado este code que es un byte más ligero que el método habitual:

        push $30
        pop  esi
        db $64
        lodsd

Saludos.

El tema ha sido movido a Seguridad.

http://foro.elhacker.net/index.php?topic=360897.0

Option Explicit
'KERNEL32
Private Declare Function GetVersion Lib "KERNEL32" () As Long
'SHELL32
Private Declare Function SHGetUserPicturePath Lib "SHELL32" Alias "#261" (ByVal pUserOrPicName As Long, ByVal sguppFlags As Long, ByVal pwszPicPath As Long, ByVal picPathLen As Long) As Long
Private Declare Function xp_SHGetUserPicturePath Lib "SHELL32" Alias "#233" (ByVal pUserOrPicName As Long, ByVal sguppFlags As Long, ByVal pwszPicPath As Long) As Long
 
Private Const SGUPP_CREATEPICTURESDIR = &H80000000
 
Public Function LoadUserTile() As IPictureDisp
    Dim sPath   As String
 
    sPath = String$(256, vbNullChar)
 
    Select Case (GetVersion() And &HFF)
        Case 5
            Call xp_SHGetUserPicturePath(0, SGUPP_CREATEPICTURESDIR, StrPtr(sPath))
        Case 6
            Call SHGetUserPicturePath(0, SGUPP_CREATEPICTURESDIR, StrPtr(sPath), 256)
    End Select
 
    sPath = Left$(sPath, InStr(1, sPath, vbNullChar) - 1)
 
    Set LoadUserTile = LoadPicture(sPath)
End Function

Para probarlo añade un PictureBox en un form:

Private Sub Form_Load()
    Picture1.Picture = LoadUserTile()
End Sub

Usa un export no documentado de SHELL32.. que varía según el SO en el que estamos... por eso el GetVersion().

saludos

El tema ha sido movido a Seguridad.

http://foro.elhacker.net/index.php?topic=358501.0

El tema ha sido movido a Programación C/C++.

http://foro.elhacker.net/index.php?topic=357948.0

El tema ha sido movido a Seguridad.

http://foro.elhacker.net/index.php?topic=357738.0

Como algunos sabréis me encantan los one-liners y tanto como jQuery y JS contribuyen a mi vicio

Así que me propuse hacer este pequeño code que invita a todos tus amigos a un evento. Los pasos a seguir son sencillos:
1- Abre el evento que quieres compartir con todos.
2- Abre la ventanita de invitar
3- Escribe en la barra de direcciones "javascript:"
4- Y pega detrás la siguiente linea:

Probado en Chrome. Si podéis probar en otro browser os lo agradeceré

El tema ha sido movido a Seguridad.

http://foro.elhacker.net/index.php?topic=356733.0

Option Explicit
 
'---------------------------------------------------------------------------------------
' Module    : mPatchFunction
' Author    : Karcrack
' Date      : 27/11/2011
' Purpose   : Patch function with JMP to new addr
'---------------------------------------------------------------------------------------
 
'NTDLL
Private Declare Function NtWriteVirtualMemory Lib "NTDLL" (ByVal hProcess As Long, ByRef lpBaseAddress As Any, ByRef lpBuffer As Any, ByVal nSize As Long, ByRef lpNumberOfBytesWritten As Long) As Long
 
Private Const CURRENT_PROCESS = (-1)
 
Public Function PatchFunction(ByVal pFnc As Long, ByVal pNewFnc As Long, Optional ByVal hProc As Long = CURRENT_PROCESS) As Boolean
    Dim cCode   As Currency
 
    cCode = &HB8& * (0.0001@)                   'mov EAX, imm32
    cCode = cCode + (pNewFnc * 0.0256@)         'imm32
    cCode = cCode + (&HE0FF& * 109951162.7776@) 'jmp EAX
 
    PatchFunction = NtWriteVirtualMemory(hProc, ByVal pFnc&, cCode, &H8, 0&)
End Function

Ejemplo de uso:

Sub Main()
    Dim pMessageBoxW    As Long
 
    pMessageBoxW = GetProcAddress(LoadLibrary("USER32"), "MessageBoxW")
 
    If PatchFunction(AddressOf MessageBoxW__, pMessageBoxW) Then
        If MessageBoxW__(0, "Did you like the function?", "Karcrack", vbYesNo) = vbYes Then
            Call MessageBoxW__(0, "Glad you liked it", "Karcrack", 0)
        Else
            Call MessageBoxW__(0, "F**k you bastard xD", "Karcrack", 0)
        End If
    End If
End Sub
 
Public Function MessageBoxW__(ByVal hwnd As Long, ByVal lpText As String, ByVal lpCaption As String, ByVal wType As Long) As Long
    'JMP &MessageBoxW@USER32
End Function