MZP !

Подскажите в чем разница?!

Есть файлы MZP - 4D 5A 50 - заражаются без ошибки.

А есть 4D 5A 90 - после заражения не работают, хотя вроде обыкновенный PE заголовок. Это какой-то упакованный формат чтоли??

Заражение в конец последней секции без файлмеппинга.

 

struct IMAGE_DOS_HEADER

.e_magic dw ?

.e_cblp dw ? ; /* Bytes on last page of file*/

...

 

Я что-то ничего более подробного не нашел. Есть ссылка?

 

чего там искать

http://www.wasm.ru/doclist.php?list=2

последняя ссылка на странице

 

Ни в одном из этих документов нету описания этого слова, кроме его названия!!

 

"MZP" — компиляторы Borland, "MZђ" — VC++, но не факт. Если перез "PE.." идёт мусор, оканчивающийся на "Rich", — точно MS VC++.

 

слушай, ну зачем тебе это

это же не PE заголовок

тебя должно интересовать то что после "PE"

всё что до этого можешь просто вырезать на хрен - программа будет работать в win32

это dosstub и обслуга его



затык не там

 

Так вот чтобы выяснить в чем затык, хочу узнать в чем отличие. Потому как проверенно - файлы первого типа заражаются без проблем!

 

повторяю, ты не там ищеш

отрежь вообще эту часть от "MZ" включительно до "PE"

исключительно , чтобы файл начинался с "PE"



ничего не изменится , программа будет работать как не в чём не бывало



и , кстати , что значит не работает ?

 

sofydone

затык в другом а про поле, то



struct IMAGE_DOS_HEADER

.e_magic dw ? ; 'MZ'

.e_cblp dw ? ; /* Bytes on last page of file*/

.e_cp dw ? ; /* Pages in file*/

...

( e_cp - 1 ) * 512 + e_cblp <= рамер файла

 

Блин...

Посмотрите внимательно PE файлы!

Они все начинаются или с 4D 5A 50 00

Или 4D 5A 90 00



При чем тут размеры файлов??!! Какие байты на последней странице?? При чем тут компиляторы???? Их всего два чтоли?



И самое инетерсное, что первый тип файлов у меня прекрасно инфицируются (всегда!), а вторые нет (тоже всегда!)

 

а такой файл?

1878333024__mzhead.zip

 

sofydone

50 00 и 90 00 это Bytes on last page of file. Ни какого тайного смысла они не несут. Проверяй свой код - не корректно обрабатываешь заголовок

 

веди себя скромнее

например

летом тепло , зимой холодно , летом деревья зелёные , зимой голые и это происходит каждый год !

вывод ->зелёные деревья нагревают воздух !!!!

ура , нобелевская премия !

 

Никто не хочет код поглядеть?

Кстати, я не делал выравнивание. Может в этом дело?

 

скажи сначала, что значит не работает ?

 

staier

все телепаты в отпуске.

 

(попытка телепатии)

А может ты как то криво смотришь смещение на ПИ заголовок в МЗ? Может stub с 50 и 90 разных длин?



Вооющем скажи как ты на ПИ выходишь в своих полу нерабочих поделках.

 

sofydone

По-моему, проще прицепить пример на 50 кило, чем толочь воду в ступе. Информации слишком мало. Ты ведь не мог все существующие файлы в мире перебрать - значит твой вывод сомнителен. Скорее всего все файлы с 90 обладают еще какой-то особенностью, которая и мешает.

 

Секундочку. Я думал просто тему удалили. Случайно наткнулся

И еще я стек правил не на кратное 4-м.

Щас все проверю еще раз и если не получится выложу немного кода инфектора.