Es un defecto no deseado 
Así como esta no le cambio el EP, se cambia solo.. 


Ya probé hasta con la dirección psíquica!


Ya no tengo ni idea que puede ser.. hace rato que estoy con esto, y me estoy por decantar a que es "problema" del netcat..   

Saludos! Gracias!

Bueno.. como no funciona y ya no entiendo que pasa, hice un codigo ejemplo..

Alguien se anima a probar este codigo?

int Crypt(char *filename, char *section)
{
	LPBYTE Start;
 
	HANDLE hFile = CreateFile(filename, GENERIC_READ|GENERIC_WRITE, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, 0);
	if (hFile == INVALID_HANDLE_VALUE)
		return -1;
	HANDLE hFileMapping = CreateFileMapping(hFile, NULL, PAGE_READWRITE, 0, 0, NULL);
	if (hFileMapping == 0){
		CloseHandle(hFile);
		return -1;
	}
	LPBYTE lpFileMap = (LPBYTE)MapViewOfFile(hFileMapping, FILE_MAP_ALL_ACCESS, 0, 0, 0);
	if (lpFileMap == 0){
		CloseHandle(hFileMapping);
		CloseHandle(hFile);	
		return -1;
	}
 
	PIMAGE_DOS_HEADER		IDH = (PIMAGE_DOS_HEADER) lpFileMap;
	PIMAGE_NT_HEADERS		INH = (PIMAGE_NT_HEADERS)((BYTE *)IDH + IDH->e_lfanew);
	PIMAGE_OPTIONAL_HEADER	IOH = (PIMAGE_OPTIONAL_HEADER)&INH->OptionalHeader;
	PIMAGE_SECTION_HEADER	ISH;
 
	for (byte i = 0; i < INH->FileHeader.NumberOfSections; i++)
	{
 
		ISH = (PIMAGE_SECTION_HEADER)(lpFileMap + IDH->e_lfanew + sizeof(IMAGE_NT_HEADERS)+ sizeof(IMAGE_SECTION_HEADER)*i);
 
		Start = lpFileMap + ISH->PointerToRawData;
		if (strcmp((char *)ISH->Name, section) == 0)
		{
			for(DWORD i=0; i<ISH->Misc.VirtualSize; i++)
				Start[i] ^= 'a';
		}
	}
 
	UnmapViewOfFile((LPCVOID)lpFileMap);
	CloseHandle(hFileMapping);
	CloseHandle(hFile);
 
	return 0;
}

El problema que tengo yo con esto es que al cifrar el programa Netcat, le cambia el EntryPoint a 4057F2 cuando debería ser otro..

Esta claro, pero por las dudas...

Crypt("nc.exe", ".text");

Gracias! Saludos!

pff.. llevo medio dia y no doy con la solucion.. igual creo que mi pendrive no es el mejor para esto.. Les cuento los pasos que llevo echos:

1- Identificar el VID & PID del pendrive, programas: ChekUDisk_v5.0 de WuBoJian y ChipGenius de MyDigit.cn

2 - Buscar en la pagina http://flashboot.ru/ la herramienta correcta en base a ese VID & PID

3 - No encontrar una utilidad para flashear mi pendrive, aunque en realidad yo solo quiero ver el firmware (por ahora), y probe con todas..  

Rando, vi el video si.. ahora estoy bajando flashtool a ver que panza..

Saludos!

PD: El pendrive es Kingston DT Micro VID: 0951 & PID: 168A, por las dudas, quizas en otro pais salen otras busquedas  

EDIT: Las opciones de flashtools son limitadas a celulares, no reconoce unidades 

Justo ahora estoy con otra cosa.. pero por ahí me parece que viene la información..

Un Golazo! Gracias Rando!

Saludos!

PD: A.. la idea es verlo, copiarlo y analizarlo.. calculo que con IDA o algún disassembler se debe poder,, no?

Huu.. si.. cualquiera.. Con Olly que es la única herramienta que tengo ahora a mano me dice esto como EntryPoint

ASCII = rC
HEX = 09 72 43

Ahora si que me descoloco, pero es una buena pista.. en casa lo tendré que ver con DUMPBIN y WinDbg

Que raro.. en un ejecutable simple, con 3 secciones funciona.. Bue, reviso y posteo..

Gracias Genio!


Actualizo:

Bueno.. creo haber encontrado algo.. pero por que lo hace??

Netcat antes de cifrar (dumpbin /HEADERS):


Netcat después de cifrar (dumpbin /HEADERS):


Netcat antes de cifrar (WinDbg !dh):


Netcat después de cifrar (WinDbg !dh):


Bueno.. ahí esta.. Ese align debe estar *!&*"·$ el formato.. Perché ?

Gracias!! Saludos!

Upss.. perdón,, pensé que había dicho al principio.. Es un crypter, no creo un nuevo archivo no 

Trabajo sobre la imagen del mismo PE, la abro con CreateFile,, uso CreateFileMapping y cierro la imagen... Capaz que la *** ahí?!   

Saludos!

Hi!

Bueno, no ando mucho por estos lados.. y no he encontrado nada de información..

Es posible extraer o ver el firmware de un pendrive? Existe alguna herramienta?

Gracias! Saludos!

PD: Si este no es el lugar indicado pido disculpas..

Bueno.. no di con la solucion.. algo me esta faltando,, pongo el code a ver si alguien ve algo malo..

if(strcmp((char *)ISH->Name, ".text") == 0)
{
 
	//  Se agranda la sección para ocupar hasta un bloque de 16 justo
	while(ISH->Misc.VirtualSize%16 != 0) ISH->Misc.VirtualSize++;
 
	//  Funcion "Cifradora", se cifra la sección .text
	Cifra((DWORD)(lpFileMap + ISH->PointerToRawData), ISH->Misc.VirtualSize);
 
	// Una copia de la sección .text cifrada (+ align 16)
	char *lptextsect = new char[ISH->Misc.VirtualSize];
	memset(lptextsect, 0, ISH->Misc.VirtualSize);
	memcpy(lptextsect, (void *)(DWORD)(lpFileMap + ISH->PointerToRawData), ISH->Misc.VirtualSize);
 
	// Se guarda el punto de inicio  ** push Entrypoint **
	ASize = IOH->ImageBase + IOH->AddressOfEntryPoint;
 
	__asm { mov eax, ASize }
	__asm { mov dword ptr[opcodes + 11h], eax }
 
	// VirtualSize a EAX y se ajustan los jmps, calls y cmp
	// ****************************************************
	ASize = ISH->Misc.VirtualSize;
	__asm { mov eax, ASize }
 
	__asm { mov dword ptr[opcodes + 44h], eax }		// -> call endopcodes
	__asm { mov dword ptr[endopcodes + 5], eax }	// -> RETADDR, ???? (Size To Decrypt)
 
	__asm { neg eax }
	__asm {	mov dword ptr[opcodes + 38h], eax }		// -> cmp ebx, -????
 
	ASize = sizeof(opcodes)-8;
	__asm { sub eax, ASize }
	__asm { mov dword ptr[endopcodes + 0Ch], eax }	// -> jmp -????
 
	// ****************************************************
 
 
	// Se Copia todo al PE!
	DWORD StartOffset = (DWORD)lpFileMap + ISH->PointerToRawData;
	memcpy((void *)(StartOffset), (void *)opcodes, sizeof(opcodes));
	memcpy((void *)(StartOffset + sizeof(opcodes)-1), (void *)(lptextsect), ISH->Misc.VirtualSize);
	memcpy((void *)(StartOffset + ISH->Misc.VirtualSize + sizeof(opcodes)-1), (void *)endopcodes, sizeof(endopcodes));
	//	***************************************************************
 
	// Se ajusta la sección
	ISH->Characteristics = 0xE0000020;								// Lectura, Ejecucion y escritura!
	IOH->AddressOfEntryPoint = (DWORD)IOH->BaseOfCode + 16;			// Empezar despues de la clave de 16 digitos
}

Bueno, la idea es ir recorriendo las secciones (Funciona), e ir buscando la sección ".text", una vez encontrada, cifrarla y ponerle su respectiva función descifradora (opcodes y endopcodes)

Desde la linea 15 a la 35 lo que hago es ajustar esos "opcodes", (que funciona tambien)..

El Problema: Si el EntryPoint es 00401000 lo cambio por 00401010 y todo bien! Si el EntryPoint es otro cualquiera, no lo puedo modificar a 00401010! Queda el que tenia antes, y lo raro, el olly me indica con rojo la direccion 00401010 pero igual inicia en donde era el EntryPoint..

Gracias por su tiempo! Saludos!

Bueno, después de darle vueltas al asunto me parece que lo mejor va a ser modificar "la lógica" del mismo...

El problema radica en que yo al principio de la sección .text pongo X código, al final pongo otro Z código.. mi intención era ejecutar código X y Z primero, para luego saltar al código del ejecutable..

Bueno, si EntryPoint de ejecutable es 0040100 me "pisa" el código X, y si EntryPoint es distinto pasa otra cosa...

Voy a hacer unas pruebas, si todo sale bien pongo el resultado, sino pregunto 


Gracias EI, me sirvió para razonar otras posibles situaciones..

Saludos!

Hi! Gracias por responder EI!


Con que ahí esta el asunto.. pero cambie el que cambie, no queda en la dirección que quiero..


En memoria.. tengo una imagen sacada con CreateFileMapping y MapViewOfFile..

Puntualmente entonces lo que necesitaría es que el entrypoint sea siempre desde baseofcode + 16, siendo (generalmente) 0040100.. pero baseofcode puede cambiar, no puedo poner eso como una constante 
Y no me funciono..

Gracias! Saludos!