elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Entrar al Canal Oficial Telegram de elhacker.net


+  Foro de elhacker.net
|-+  Programación
| |-+  Programación General
| | |-+  .NET (C#, VB.NET, ASP)
| | | |-+  Programación Visual Basic (Moderadores: LeandroA, seba123neo)
| | | | |-+  CallAPIByName usando solamente rtlMoveMemory
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: CallAPIByName usando solamente rtlMoveMemory  (Leído 6,612 veces)
cobein


Desconectado Desconectado

Mensajes: 759



Ver Perfil WWW
CallAPIByName usando solamente rtlMoveMemory
« en: 14 Junio 2009, 02:16 am »

Bueno, un dia despues de muchas birras se me ocurrio la genial idea de hacer un CallAPIByName usando solamente rtlMoveMemory, hasta ahi todo genial... pero bueno despues de pelarme el 0r70 por varias semanas intentando resolver diferentes problemas logre hacerlo funcionar! =D

Usa un monton de magia negra para resolver diferentes cosas ... pero en fin funciona o eso creo.
Testeado en XP y Vista compilado en P-Code y Codigo Nativo.

http://www.advancevb.com.ar/wp-content/2009/06/Call-API.rar


En línea

http://www.advancevb.com.ar
Más Argentino que el morcipan
Aguante el Uvita tinto, Tigre, Ford y seba123neo
Karcrack es un capo.
el_c0c0


Desconectado Desconectado

Mensajes: 307


Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #1 en: 14 Junio 2009, 02:51 am »

muy bue aporte cobein.. siempre fumando de la buena para llegar a esto...


offtopic: XD con tu firma!


En línea

'-     coco
"Te voy a romper el orto"- Las hemorroides
Karcrack


Desconectado Desconectado

Mensajes: 2.416


Se siente observado ¬¬'


Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #2 en: 14 Junio 2009, 09:56 am »

Funciona perfectamente ;D A ver si luego puedo revisarlo en W7... por lo visto en Vista dicen que falla :silbar:


Por cierto, te quedo muy bien el rediseño de tu web ;D

Saludos ;)
En línea

cobein


Desconectado Desconectado

Mensajes: 759



Ver Perfil WWW
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #3 en: 14 Junio 2009, 10:45 am »

Si, en realidad no falla en vista, falla ... la verdad no lo testie demasiado pero cuando llamas a cualquier funcion que involucre memoria... en realidad creo que es cuando pasa un puntero como byref. Pero vuelvo a repetir no estoy seguro, me tengo que poner a debuguear esto de a poco. Estoy seguro que el problema esta en en el ASM de la funcion Invoke.
En línea

http://www.advancevb.com.ar
Más Argentino que el morcipan
Aguante el Uvita tinto, Tigre, Ford y seba123neo
Karcrack es un capo.
Karcrack


Desconectado Desconectado

Mensajes: 2.416


Se siente observado ¬¬'


Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #4 en: 15 Junio 2009, 19:17 pm »

He estado probando códigos que usan la memoria... (Aquel que hice para sacar el Path del PEB) que usa GetMem1 y CallWindowProc y funciona perfecto... a ver si encuentro algún código que use RtlMoveMemory por aquí...


MOD1:
Vale, el problema esta por lo visto solo al usar RtlMoveMemory (Lo prove con el codigo de HideDLL de Cobein)... voy a ver por que :P
MOD2:
Vale, el problema es que llamas a la posición de la cadena "NTDLL.RtlMoveMemory"



MOD3:
Como tu decías el problema esta en el código que metes en zDoNotCat... A ver si puedo debuggear ahí :xD

¿SOLUCION?:Cambiar el CALL relativo por PUSH XXXXXXXX + RET o MOV EAX, XXXXXXXX + JMP EAX

Saludos :D

PD:Cuantos MODs NO? :laugh: :laugh:
« Última modificación: 16 Junio 2009, 18:17 pm por Karcrack » En línea

Karcrack


Desconectado Desconectado

Mensajes: 2.416


Se siente observado ¬¬'


Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #5 en: 16 Junio 2009, 18:19 pm »

SOLUCION:

Reemplazar la funcion CallAPI por esta:
Código
  1. Public Function CallAPI(ByVal sLib As String, ByVal sMod As String, ParamArray Params() As Variant)
  2.    Dim lLib        As Long
  3.    Dim lMod        As Long
  4.    Dim cParams     As New Collection
  5.    Dim i           As Long
  6.  
  7.    If (sMod Like "Rtl*Memory") = True Then sLib = "NTDLL"
  8.  
  9.    lLib = LoadLibrary(sLib)
  10.    If Not lLib = 0 Then
  11.        lMod = GetProcAddress(lLib, sMod)
  12.        If Not lMod = 0 Then
  13.            For i = 0 To UBound(Params)
  14.                cParams.Add Params(i)
  15.            Next
  16.            CallAPI = Invoke(lMod, cParams)
  17.        End If
  18.    End If
  19.  
  20. End Function

El problema reside en que las funciones de memoria que hay en KERNEL32 dan problema... pero en cambio las de NTDLL que son IGUALES no lo hacen.... asi que bueno, cuando es una funcion de memoria simplemente se cambia la DLL y asi funciona...

Esta es una solucion chapucera hasta que Cobein encuentre el verdadero error...que imagino que esta en el EP de KERNEL32, ya que al Olly le pasa parecido cuando cargas solo la DLL :-\

Saludos ;D
En línea

Arkangel_0x7C5


Desconectado Desconectado

Mensajes: 361



Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #6 en: 16 Junio 2009, 23:28 pm »

no es un error, a GetProcAddress también le pasa eso. La solución si te fijas es buscar el '.' para saber de que dll es y hacer otra llamada con los datos correctos. yo tengo la solución, pero este no es el lugar para colocar el code.

Saludos
En línea

cobein


Desconectado Desconectado

Mensajes: 759



Ver Perfil WWW
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #7 en: 16 Junio 2009, 23:37 pm »

Sep tienen razon, ya corregi el getprocaddress, es por las funciones forwardeadas pero ya lo arregle. Cuando termine de testear todo lo subo.
En línea

http://www.advancevb.com.ar
Más Argentino que el morcipan
Aguante el Uvita tinto, Tigre, Ford y seba123neo
Karcrack es un capo.
Swellow

Desconectado Desconectado

Mensajes: 77


Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #8 en: 9 Noviembre 2011, 00:07 am »

Can anyone reupload this please? :D
En línea

scapula

Desconectado Desconectado

Mensajes: 10


Ver Perfil
Re: CallAPIByName usando solamente rtlMoveMemory
« Respuesta #9 en: 9 Noviembre 2011, 08:52 am »

http://cobein.com/wp/wp-content/2009/06/Call-API.rar
En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines