собеседование в virlab

Бесполезный в нем нет html тегов.

 

shchetinin
С вашими тегами идите на другой форум.

oldnoob
Есть идеи по сабжу ?

 

2klzlk
этот кодес определяет границы модуля (начало - конец) в котором исполняется (с помощью NtAreMappedFilesTheSame). Довольно красиво =)

 

izl3sa
Интересно узнать как вы это узнали. А вообще не выже кричали про программинг и в контору аверсую не вы хотели проникнуть, зачем было годный вопрос портить

 

klzlk
Может быть вудманн?

 

shchetinin
Да, я так и подумал. Там и оптимизированный вариант есть, но такая оптимизация сродни обфускации.

 

klzlk оригинальный сорц этой процедуры покажете ??? хоть в пм

 

С Delphi не работал, разве что пару лабораторных было. Так что мимо тазика.
Если ты даешь какое-то задание (которое не факт что я обязан решать, тратить время), то логичнее его давать в ЛС, иначе каждый волен решать его.

 

oldnoob

Его не решили. А вы ушли от ответа. Видимо вам не у аверов работать(там своих индусов более чем достаточно)..

 

izl3sa объяснил работу кода.

 

Он сказал что код делает, про его работу ни слова не сказал. Вам же в школе по математике оценки ставили не за рипнутое число в ответе, а за ход решения.

 

можно я как полный нуб в кернел моде и как человек который сам строил механизмы на асме (правда в досе) выскажу свое предположение относительно того как это работает:

в цикле перебираются system call'ы из них отбираются те что ругаются на параметры STATUS_INVALID_ADDRESS

и лишь одна из них по слухам (NtAreMappedFilesTheSame) пройдет вторую проверку за label1 и выполнит всю полезную работу прощупывая адресное пространство с шагом в страницу

Код (Text):

1. 810424 00000100  ADD DWORD PTR SS:[ESP],10000
2.     816424 04 00F0FF>AND DWORD PTR SS:[ESP+4],FFFFF000
3.  
4. label3:
5.     814424 04 001000>ADD DWORD PTR SS:[ESP+4],1000

 

EP_X0FF
> Дерзайте, главное чтобы человек был увлечен
+100500

> Вирусный аналитик, общие требования:
> 2. владение популярными инструментами типа IDA, OllyDbg, WinDBG/Syser (SoftIce в топку)
я бы добавил wireshark, firebug, d8,,,

> 3. уверенное владение C/C++
я бы добавил сюда питон, т.к. без питона ни ольгой, ни с идой далеко не уедешь. да и если нужно разобрать лог API шпиона, то на пионе это быстрее, чем на си.

> 4. знание архитектуры Windows NT, структуры PE-файлов
я бы добавил знание форматов документов (pdf, ms office), сетевых протоколов, js, swf,,, EScript.api

exe файлы уже давно дропаются через цепочку типа html -> js -> pdf -> swf -> ... exe/dll, причем компроментация системы происходит задолго до дропа exe. раньше хучили винду, сейчас нужно хучить адобу и ie.

> Честно говоря, я бы вас не взял на эту позицию. Уж извиняйте
> Лучше начните с программирования, тем более сами сказали что прикладник
тут вопрос спорный. анализ малвари сам по себе профита не приносит и даже на западе оплачивается не выше $65k. а вот написать детектор для новой хитроумной малвари -- вот это профит. но, чтобы его написать, нужно не только уметь программировать, но и знать повадки малвари.

 

Немного не по теме, но почему последнее время так стал популярен этот Питон? Имею ввиду, в среде малваре реверсеров. Уже который раз замечаю, что в отчетах при дизасме используют питон, в "хакере" была статья, в которой на питоне делали криптор.. Чем он так хорош, чем лучше того же руби или перла, не говоря уж про С++?

 

M0rg0t
> Немного не по теме, но почему последнее время так стал популярен этот Питон?
хз. когда-то очень давно (еще в 20 веке) я его ковырнул. ужаснулся, что он требует принудительного форматирование и решил для себя, что этот "фашистский" язык не для меня и забросил его на полку. но... вот сейчас таки начал изучать, ибо иммунити деббагер -- это ольга с питоном. в иде питон позволяет писать плагины не отходя от кассы, причем быстрее, чем на сях. молчу уже про кучу библиотек. если мне нужно проанализировать Pcap'ы и построить графики в png, то на питоне это делается запросто, а вот на си библиотеки пока найдешь...

> Имею ввиду, в среде малваре реверсеров.
вероятно, потому что нет достойной альтернативы. развитый скриптовый язык, копилируемый на лету в байт код. огромное кол-во библиотек. да и сам язык легко учиться. я с полного нуля за выходные (и это не преувеличение) стал на нем что-то писать (хотя и в сишном стиле).


> Уже который раз замечаю, что в отчетах при дизасме используют питон,
> в "хакере" была статья, в которой на питоне делали криптор.. Чем он
> так хорош, чем лучше того же руби или перла, не говоря уж про С++?
руби -- тормоз и пока используется только на метасплоите. хакерских библиотек нет (типа того же pefile). ни ида, ни ольга руби не поддерживают... а что касается си... ну вот вам пример: http://www.hexblog.com/?p=193 -- сколько бы у вас заняла имплементация на си++ ? и да, питон таки лучше потому что в нем пишешь типа:

f = open("name", "rb");
for lines in f:
...

или вот пишешь:
a = (x, y, z);
return a;

 

kaspersky
Спасибо за подробный ответ. Я тоже к Питону не особо присматривался именно из-за этих отступов и табуляции.

 

>> Я тоже к Питону не особо присматривался именно из-за этих отступов и табуляции.
это кстати ниразу и не минус =) уже полтора года прусь от питона и от того, что с помощью него можно творить с инструментами, а как скриптабельные плагины в ида 5.7 появились, так вообще лафа =)

 

Настоящие посоны юзают IDА от ESЕТ со всеми примочками и прибомбасами (;

 

izl3sa
>> Я тоже к Питону не особо присматривался именно из-за этих отступов и табуляции.
> это кстати ниразу и не минус =)
пробовали править чужой код? думали, что там табуляция, а там пробелы. ага! или скопипастить что-то из своего кода в чужую функу. блин, это же надо все переформатировать. да или просто вы написали кусок кода, а затем решили его оформить отдельной функций. на сях и паскале -- ну скопировал и успокоился. а тут...

или просто добавли еще один if. или цикл. это ужас нах. это снова все переформатировтаь...

 

kaspersky
Есть идеи по пруфкоду выше ?
Ато вы тут распиарили какието ресерчи, а что вы собственно можите ?