elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Tutorial básico de Quickjs


+  Foro de elhacker.net
|-+  Programación
| |-+  Programación General
| | |-+  .NET (C#, VB.NET, ASP)
| | | |-+  Programación Visual Basic (Moderadores: LeandroA, seba123neo)
| | | | |-+  Ayuda con identificar code de mas !!!
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Ayuda con identificar code de mas !!!  (Leído 2,645 veces)
rembolso

Desconectado Desconectado

Mensajes: 163



Ver Perfil
Ayuda con identificar code de mas !!!
« en: 23 Julio 2012, 21:16 pm »

hola.  yendo al grano estoy tratando de hacer un soft que me detecte algo inyectado (dll . exe) inyectado dentro del notepad. pero se complica y lo unico que se me ocurrio fue  jugar con este code y inyectando dll al notepad(por el pid)  y con ReadMemory al puntero del programa obtenido por el pid. pero cada ves que le  inyecto algo lo obtenido con el ReadMemory sigue igual!! . que estoy haciendo mal
Code
Código
  1. Private Const PAGE_READWRITE As Long = &H4
  2.  
  3. Private Const STANDARD_RIGHTS_REQUIRED As Long = &HF0000
  4. Private Const SYNCHRONIZE As Long = &H100000
  5. Private Const PROCESS_ALL_ACCESS As Long = (STANDARD_RIGHTS_REQUIRED Or SYNCHRONIZE Or &HFFF)
  6.  
  7.  
  8. Private Declare Function OpenProcess Lib "kernel32" (ByVal dwDesiredAccess As Long, ByVal bInheritHandle As Long, ByVal dwProcessId As Long) As Long
  9. Private Declare Function GetProcAddress Lib "kernel32" (ByVal hModule As Long, ByVal lpProcName As String) As Long
  10. Private Declare Function GetModuleHandle Lib "kernel32" Alias "GetModuleHandleA" (ByVal lpModuleName As String) As Long
  11.  
  12. Private Declare Function CloseHandle Lib "kernel32" (ByVal hObject As Long) As Long
  13. Private Declare Function CreateRemoteThread Lib "kernel32" (ByVal hProcess As Long, lpThreadAttributes As Long, ByVal dwStackSize As Long, lpStartAddress As Long, lpParameter As Any, ByVal dwCreationFlags As Long, lpThreadId As Long) As Long
  14.  
  15. Private Declare Function ReadProcessMemory Lib "kernel32" (ByVal hProcess As Long, ByVal lpBaseAddress As Any, lpBuffer As Any, ByVal nSize As Long, lpNumberOfBytesWritten As Long) As Long
  16.  
  17.  
  18. Public Function Leed(pId As Long) As Integer
  19. Dim proc As Long
  20. Dim load As Long
  21.  
  22.  
  23. Dim ReadMemory As String, i As Long
  24.  
  25.   Dim bytValue As Long
  26. On Error GoTo Error
  27.  
  28. proc = OpenProcess(PROCESS_ALL_ACCESS, False, pId)
  29. load = GetProcAddress(GetModuleHandle("kernel32.dll"), "LoadLibraryA")
  30.  
  31.  
  32. For i = load To Int(load + 100) Step 2
  33.       '
  34.  
  35.       ReadProcessMemory proc, ByVal i, bytValue, 1, 0&
  36.  
  37.  
  38.       ReadMemory = ReadMemory & Chr(bytValue)
  39.    Next
  40. RichTextBox1.Text = ReadMemory '
  41.  
  42.  
  43. CloseHandle proc
  44.  
  45.  
  46. Exit Function
  47. Error:
  48.  
  49. Me.Caption = ""
  50. 'nota: para que se actualize constantemente la funcion Leed esta dentro de un timer con intervalo de 10 milisecon
  51. End Function

ese es mi code. pero los primeros  50  caracteres siguen igual, y  la dll si se inyecto . como detecto ese segmento inyectado  


En línea

MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 5.518


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: Ayuda con identificar code de mas !!!
« Respuesta #1 en: 23 Julio 2012, 22:24 pm »

Estas leyendo los bytes de la funcion "LoadLibraryA".

Si no has escrito en esa parte (sección de codigo), los bytes seran siempre iguales...


En línea

MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."

rembolso

Desconectado Desconectado

Mensajes: 163



Ver Perfil
Re: Ayuda con identificar code de mas !!!
« Respuesta #2 en: 23 Julio 2012, 22:45 pm »

gracias MCKSys . entonce con GetProcAddress estoy errado. no se me ocurre otra cosa.  como hago para leer o obtener los identificadores de las dll cargadas. o saber que hay cargado o no !!
En línea

shaggikpo

Desconectado Desconectado

Mensajes: 30


Ver Perfil
Re: Ayuda con identificar code de mas !!!
« Respuesta #3 en: 2 Septiembre 2013, 08:43 am »

COn GetThread obtienes todas las librerias cargadas
En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
ayuda con mi code
Programación Visual Basic
nitrox 2 1,532 Último mensaje 4 Septiembre 2005, 08:09 am
por Slasher-K
Ayuda Code PHP
PHP
Nightwalker89 7 3,830 Último mensaje 13 Marzo 2009, 13:13 pm
por Agente Naranja
ayuda porfavor a identificar
Ingeniería Inversa
-PrOmEtEo- 2 2,850 Último mensaje 23 Marzo 2009, 14:00 pm
por Mintaka
ayuda a identificar llamadas anonimas!
Dispositivos Móviles (PDA's, Smartphones, Tablets)
portador00 2 5,881 Último mensaje 27 Junio 2011, 14:10 pm
por simorg
Solución de HP ayuda a identificar vulnerabilidades en aplicaciones web
Noticias
wolfbcn 0 2,283 Último mensaje 30 Abril 2013, 14:48 pm
por wolfbcn
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines