elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Sigue las noticias más importantes de seguridad informática en el Twitter! de elhacker.NET


  Mostrar Mensajes
Páginas: 1 [2] 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 ... 69
11  Programación / Ingeniería Inversa / Re: Error en ollydbg en: 13 Octubre 2011, 17:36 pm
Sin entrar mucho en las respuestas que se han dicho anteriormente, OllyDBG es un debugger para arquitecturas x86 (32-Bit) y sólamente puede funcionar en x64 corriendo en 32-Bit y depurando aplicaciones de 32-Bit.

Te recomiendo que si quieres trabajar con OllyDBG uses una máquina virtual y un XP SP3.

Pero si quieres seguir en Windows7 es mejor que uses o bien el IDA (lo encontrarás en google ;)) o bien el WinDBG que es por ende el debugger oficial para windows y más potente.

Un saludo.
12  Programación / Ingeniería Inversa / Re: reversear? HACK SHIELD PRO, para .:UNDER:. en: 13 Octubre 2011, 17:32 pm
pues lo que está ahí es un *.exe, no querras virusearnos no? ._., no estoy en mi PC, cuando esté lo miro.


EDITO:

Un escaneo:

http://www.virustotal.com/file-scan/report.html?id=e16ca832d1bf7f7df53eb351d24634386154496a69d7a3a084e8f0d98ead32bc-1317443832

Llego a mi pc o mañana... lo miro con el olly

En principio parece una librería (Flag DLL) renombrada a .exe y aparentemente un antiguo Themida con las imports reconstruidas con ImportReconstructor. (en .mackt).

Por la cantidad de ***** de las secciones y del deseampaquetado tiene bastante entropía así que es normal que salten algunas heurísticas.

Ahora, si es malware o no ahí ya habría que analizarlo detenidamente.

Un saludo.

P.D: Deberías ejecutar estas cosas como mínimo en una máquina virtual, pero si necesitas tirar fuera de la máquina como mínimo una política de permisos sin administración ;).
13  Programación / Ingeniería Inversa / Re: Buscar comandos sin FINDCMD? en: 30 Septiembre 2011, 08:36 am
¿A qué "comandos" os referís?
14  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 26 Septiembre 2011, 09:58 am
Hola a todos
Para quien le interese leer un poco os dejo los links de descarga del tutorial de
Sick Troen que hacia referencia .:UND3R:.
Para los que sigan este hilo y se inicien en el tema creo que vale la pena darles un vistazo.

http://dc399.4shared.com/download/lvmh7dC-/044-ESTUDIO_DE_LOS_ENCABEZADOS.zip?tsid=20110925-093526-632c6108

http://dc129.4shared.com/download/LEzqnx-Y/048-ESTUDIO_DE_LOS_ENCABEZADOS.zip?tsid=20110925-093607-f855d31

Saludos


Respeto mucho el trabajo que hizo Sick Troen en su día. Sin embargo, me atrevería a decir que lo mejor para estudiar un formato es utilizar su documentación oficial.

Y lo tenéis aquí:

http://download.microsoft.com/download/9/c/5/9c5b2167-8017-4bae-9fde-d599bac8184a/pecoff_v8.docx

Un saludo.
15  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 26 Septiembre 2011, 09:56 am
Según lo que leí en el link, sería desde la ram?, si me equivoque es porque no lo tengo tan claro aún... :P


Osea al referercide 4GB lo dicen en conjunto, pero lo que se debe especificar es que 2 solo pueden ser para el usuario, y lo restante (2gb), son para el kernel.

Creo que voy entendiendo...  ;D

Pd: Under te mande un MP te llego?

Saludos!
Nox.

Es código que se ejecuta más veces. Y en líneas generales cualquier acceso a memoria es preferente que se haga sobra la RAM. (Es más rápido).

Yo no diría que un proceso puede ocupar 4 GB. Básicamente porque un proceso es una estructura EPROCESS que tiene asignados 2 GB de espacio usuario (como siempre, por defecto ;)...)

Un saludo.
16  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 24 Septiembre 2011, 21:28 pm
Por aquí hay un artículo donde explica la memoria total (que no la memoria de user-land) en diferentes arquitecturas:

http://support.microsoft.com/kb/294418

Dicen que en x64 son 16 Terabytes. Yo juraría recordar que era 256 tb pero bueno.

Un saludo.
17  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 24 Septiembre 2011, 21:25 pm
Leyendo un estudio de PE me topé con esto:
Sick Troen:
PE32 32 byte y el de 64 comentan que el límite es de 4gb

Optional Header
campos estandar
MagicNumber:puede ser P32 o P32+

la diferencia:

Saludos

Tú ten en cuenta que el sistema reserva 2 GB para el kernel. Yo no sé si habéis depurado el kernel alguna vez. Pero me resulta difícil pensar que virtualmente usen un rango de 0x00000000-0x7fffffffff (2GB) y en el kernel a partir de 0x80000000 y luego puedas usar esos 2 GB para código que no sea kernel.

Tú solamente piensa en las librerías / drivers / etc. que van gestionando el sistema. ¿Dónde es mejor que se ejecuten, desde la RAM o desde la paginación?

Un saludo.
18  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 24 Septiembre 2011, 21:22 pm
Vale, lo entiendo, yo pensaba que este temilla estaba totalmente correcto en mi cabeza, luego vienen y te dicen que no XD

 :laugh:

Pero en arquitecturas x64 entonces, tienen 4gb de memoria en el espacio de direcciones?
Nox.

No, en x64 tienes hasta 256 TeraBytes ;).

Un saludo.
19  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 24 Septiembre 2011, 00:08 am
Estarías en un entorno de 64-Bit o expresamente configurado para que el kernel tenga sólamente 1 GB. Aunque ya te digo que muy raro sería ;).

Un saludo.
20  Programación / Ingeniería Inversa / Re: Duda sobre ejecutables en: 23 Septiembre 2011, 09:05 am
Aparte de lo que te dijo Shaddy:

Cada programa tiene sus 4GB  de memoria en el espacio de direcciones, eso no quiere decir que ocupen 4gb de memoria física, si no que el programa puede direccionar cualquier dirección en ese rango.

Nox.

Bueno, eso en realidad no es cierto. En arquitecturas x86 (32-Bit) el máximo de memoria virtual por proceso son 2 GB (0x00000000-0x7FFFFFFF).

Gracias Shaddy y Иōҳ por vuestras respuestas.
Con esto ya me queda mas claro lo del mapeado de la memoria.
Mi duda era si podia generar un programa con las abeceras bien definidas pero mapeado en unas direcciones fura de las que se usan por costumbre y claro esta, que luego el procesador lo entendiease y el programa funcionara.
Sabiendo que estos parametros los puedo definir en el linkador ya puedo hacer pruebas.

Saludos

Puedes definirlos en el 'linker' o puedes definirlos a mano, como ya te dije ImageBase lo puedes cambiar manualmente.

Un saludo.
Páginas: 1 [2] 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 ... 69
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines