Реверс сетевого протокола

lobz1k · 27 сен 2011

Добрый день.

Есть один ехе файл, не упакован. Суть проблемы в том, что бряки на сенд и рецв не срабатывают, в то время как сокет и коннект ловится нормально. Не срабатывают даже бряки на модули типа WS2_32, WSOCK32, MSWSOCK (проверял когда клиент уже подконектился). Вопрос, как еще можно организовать передачу данных по сети в обход этих длл?

Memory map
Address Size Owner Section Contains Type Access Initial Mapped as
00010000 00001000 Priv RW RW
00020000 00001000 Priv RW RW
00129000 00001000 Priv RW Guar RW
0012A000 00006000 stack of mai Priv RW Guar RW
00130000 00003000 Map R R
00140000 00002000 Map R R
00150000 00001000 Priv RWE RWE
00160000 00021000 Priv RW RW
00260000 00006000 Priv RW RW
00270000 00003000 Map RW RW
00280000 00016000 Map R R \Device\HarddiskVolume1\WINDOWS\system32\unicode.nls
002A0000 00041000 Map R R \Device\HarddiskVolume1\WINDOWS\system32\locale.nls
002F0000 00041000 Map R R \Device\HarddiskVolume1\WINDOWS\system32\sortkey.nls
00340000 00006000 Map R R \Device\HarddiskVolume1\WINDOWS\system32\sorttbls.nls
00350000 00001000 Priv RWE RWE
00360000 00001000 Priv RWE RWE
00370000 00001000 Priv RWE RWE
00380000 0000A000 Priv RW RW
00390000 00003000 Map R R \Device\HarddiskVolume1\WINDOWS\system32\ctype.nls
003A0000 00001000 Priv RW RW
003B0000 00001000 Priv RW RW
003C0000 00010000 Priv RW RW
003D0000 00002000 Map R R
003E0000 00001000 Map RW RW
003F0000 00002000 Map R R
****************************************************
****************************************************
****************************************************
****************************************************
****************************************************
00A80000 00002000 Map R E R E
00B40000 00002000 Map R E R E
00B50000 00103000 Map R R
00C60000 0003D000 Map R E R E
00F60000 00100000 Priv RW RW
01160000 0000C000 Priv RW RW
01180000 00007000 Map RW RW
01200000 00001000 Priv RW RW
01280000 00001000 Priv RW RW
01290000 00001000 Priv RW RW
012B0000 00002000 Map RW RW
013F0000 00200000 Priv RW RW
015F0000 00050000 Map R R
01640000 00010000 Map RW RW
0177C000 00001000 Priv RW Guar RW
0177D000 00003000 stack of thr Priv RW Guar RW
0187E000 00001000 Priv RW Guar RW
0187F000 00001000 stack of thr Priv RW Guar RW
0197E000 00001000 Priv RW Guar RW
0197F000 00001000 stack of thr Priv RW Guar RW
01A7E000 00001000 Priv RW Guar RW
01A7F000 00001000 stack of thr Priv RW Guar RW
01B7E000 00001000 Priv RW Guar RW
01B7F000 00001000 stack of thr Priv RW Guar RW
01B80000 00002000 Map RW RW
01C8E000 00001000 Priv RW Guar RW
01C8F000 00001000 stack of thr Priv RW Guar RW
01C90000 00400000 Priv RW RW
02090000 00001000 Priv RW RW
020A0000 00003000 Priv RW RW
021AB000 00001000 Priv RW Guar RW
021AC000 00004000 stack of thr Priv RW Guar RW
021B0000 00133000 Priv RW RW
02430000 0011D000 Priv RW RW
02550000 0066E000 Priv RW RW
02BC5000 00024000 Priv RW RW
02BF4000 00065000 Priv RW RW
02C69000 0006F000 Priv RW RW
02D50000 00215000 Priv RW RW
5B260000 00001000 uxtheme PE header Imag R RWE
5B261000 00030000 uxtheme .text code,imports Imag R RWE
5B291000 00001000 uxtheme .data data Imag R RWE
5B292000 00004000 uxtheme .rsrc resources Imag R RWE
5B296000 00002000 uxtheme .reloc relocations Imag R RWE
5BD50000 00001000 NETAPI32 PE header Imag R RWE
5BD51000 0004D000 NETAPI32 .text code,imports Imag R RWE
5BD9E000 00003000 NETAPI32 .data data Imag R RWE
5BDA1000 00001000 NETAPI32 .rsrc resources Imag R RWE
5BDA2000 00003000 NETAPI32 .reloc relocations Imag R RWE
68000000 00001000 rsaenh PE header Imag R RWE
68001000 0002E000 rsaenh .text code,imports Imag R RWE
6802F000 00004000 rsaenh .data data Imag R RWE
68033000 00001000 rsaenh .rsrc resources Imag R RWE
68034000 00002000 rsaenh .reloc relocations Imag R RWE
698B0000 00001000 hnetcfg PE header Imag R RWE
698B1000 0003F000 hnetcfg .text code,imports Imag R RWE
698F0000 00001000 hnetcfg .orpc Imag R RWE
698F1000 00001000 hnetcfg .data data Imag R RWE
698F2000 00011000 hnetcfg .rsrc resources Imag R RWE
69903000 00005000 hnetcfg .reloc relocations Imag R RWE
71A30000 00001000 mswsock PE header Imag R RWE
71A31000 0002A000 mswsock .text code,imports Imag R RWE
71A5B000 0000C000 mswsock SANONTCP code Imag R RWE
71A67000 00002000 mswsock .data data Imag R RWE
71A69000 00004000 mswsock .rsrc resources Imag R RWE
71A6D000 00003000 mswsock .reloc relocations Imag R RWE
71A70000 00001000 wshtcpip PE header Imag R RWE
71A71000 00004000 wshtcpip .text code,imports Imag R RWE
71A75000 00001000 wshtcpip .data data Imag R RWE
71A76000 00001000 wshtcpip .rsrc resources Imag R RWE
71A77000 00001000 wshtcpip .reloc relocations Imag R RWE
71A80000 00001000 WS2HELP PE header Imag R RWE
71A81000 00004000 WS2HELP .text code,imports Imag R RWE
71A85000 00001000 WS2HELP .data data Imag R RWE
71A86000 00001000 WS2HELP .rsrc resources Imag R RWE
71A87000 00001000 WS2HELP .reloc relocations Imag R RWE
71A90000 00001000 WS2_32 PE header Imag R RWE
71A91000 00013000 WS2_32 .text code,imports Imag R RWE
71AA4000 00001000 WS2_32 .data data Imag R RWE
71AA5000 00001000 WS2_32 .rsrc resources Imag R RWE
71AA6000 00001000 WS2_32 .reloc relocations Imag R RWE
71AB0000 00001000 WSOCK32 PE header Imag R RWE
71AB1000 00003000 WSOCK32 .text code,imports Imag R RWE
71AB4000 00001000 WSOCK32 .data data Imag R RWE
71AB5000 00004000 WSOCK32 .rsrc resources Imag R RWE
71AB9000 00001000 WSOCK32 .reloc relocations Imag R RWE
746E0000 00001000 MSCTF PE header Imag R RWE
746E1000 00042000 MSCTF .text code,imports Imag R RWE
74723000 00002000 MSCTF .data data Imag R RWE
74725000 00004000 MSCTF .rsrc resources Imag R RWE
74729000 00003000 MSCTF .reloc relocations Imag R RWE
76BE0000 00001000 psapi PE header Imag R RWE
76BE1000 00004000 psapi .text code,imports Imag R RWE
76BE5000 00004000 psapi .data data Imag R RWE
76BE9000 00001000 psapi .rsrc resources Imag R RWE
76BEA000 00001000 psapi .reloc relocations Imag R RWE
76D50000 00001000 Iphlpapi PE header Imag R RWE
76D51000 00013000 Iphlpapi .text code,imports Imag R RWE
76D64000 00001000 Iphlpapi .data data Imag R RWE
76D65000 00003000 Iphlpapi .rsrc resources Imag R RWE
76D68000 00001000 Iphlpapi .reloc relocations Imag R RWE
773C0000 00001000 comctl32 PE header Imag R RWE
773C1000 00091000 comctl32 .text code,imports Imag R RWE
77452000 00001000 comctl32 .data data Imag R RWE
77453000 0006A000 comctl32 .rsrc resources Imag R RWE
774BD000 00006000 comctl32 .reloc relocations Imag R RWE
77BF0000 00001000 VERSION PE header Imag R RWE
77BF1000 00004000 VERSION .text code,imports Imag R RWE
77BF5000 00001000 VERSION .data data Imag R RWE
77BF6000 00001000 VERSION .rsrc resources Imag R RWE
77BF7000 00001000 VERSION .reloc relocations Imag R RWE
77C00000 00001000 msvcrt PE header Imag R RWE
77C01000 0004C000 msvcrt .text code,imports Imag R RWE
77C4D000 00007000 msvcrt .data data Imag R RWE
77C54000 00001000 msvcrt .rsrc resources Imag R RWE
77C55000 00003000 msvcrt .reloc relocations Imag R RWE
77DC0000 00001000 ADVAPI32 PE header Imag R RWE
77DC1000 00075000 ADVAPI32 .text code,imports Imag R RWE
77E36000 00005000 ADVAPI32 .data data Imag R RWE
77E3B000 0002C000 ADVAPI32 .rsrc resources Imag R RWE
77E67000 00005000 ADVAPI32 .reloc relocations Imag R RWE
77E70000 00001000 RPCRT4 PE header Imag R RWE
77E71000 00083000 RPCRT4 .text code,imports Imag R RWE
77EF4000 00007000 RPCRT4 .orpc code Imag R RWE
77EFB000 00001000 RPCRT4 .data data Imag R RWE
77EFC000 00001000 RPCRT4 .rsrc resources Imag R RWE
77EFD000 00005000 RPCRT4 .reloc relocations Imag R RWE
77F10000 00001000 GDI32 PE header Imag R RWE
77F11000 00043000 GDI32 .text code,imports Imag R RWE
77F54000 00002000 GDI32 .data data Imag R RWE
77F56000 00001000 GDI32 .rsrc resources Imag R RWE
77F57000 00002000 GDI32 .reloc relocations Imag R RWE
77F60000 00001000 SHLWAPI PE header Imag R RWE
77F61000 0006C000 SHLWAPI .text code,imports Imag R RWE
77FCD000 00001000 SHLWAPI .data data Imag R RWE
77FCE000 00002000 SHLWAPI .rsrc resources Imag R RWE
77FD0000 00006000 SHLWAPI .reloc relocations Imag R RWE
77FE0000 00001000 Secur32 PE header Imag R RWE
77FE1000 0000D000 Secur32 .text code,imports Imag R RWE
77FEE000 00001000 Secur32 .data data Imag R RWE
77FEF000 00001000 Secur32 .rsrc resources Imag R RWE
77FF0000 00001000 Secur32 .reloc relocations Imag R RWE
7C800000 00001000 kernel32 PE header Imag R RWE
7C801000 00084000 kernel32 .text code,imports Imag R RWE
7C885000 00005000 kernel32 .data data Imag R RWE
7C88A000 00068000 kernel32 .rsrc resources Imag R RWE
7C8F2000 00006000 kernel32 .reloc relocations Imag R RWE
7C900000 00001000 ntdll PE header Imag R RWE
7C901000 0007A000 ntdll .text code,exports Imag R RWE
7C97B000 00005000 ntdll .data data Imag R RWE
7C980000 0002D000 ntdll .rsrc resources Imag R RWE
7C9AD000 00003000 ntdll .reloc relocations Imag R RWE
7E360000 00001000 USER32 PE header Imag R RWE
7E361000 00060000 USER32 .text code,imports Imag R RWE
7E3C1000 00002000 USER32 .data data Imag R RWE
7E3C3000 0002B000 USER32 .rsrc resources Imag R RWE
7E3EE000 00003000 USER32 .reloc relocations Imag R RWE
7F6F0000 00007000 Map R E R E
7FFB0000 00024000 Map R R
7FFD7000 00001000 data block o Priv RW RW
7FFD8000 00001000 data block o Priv RW RW
7FFD9000 00001000 data block o Priv RW RW
7FFDA000 00001000 Priv RW RW
7FFDB000 00001000 data block o Priv RW RW
7FFDC000 00001000 data block o Priv RW RW
7FFDD000 00001000 data block o Priv RW RW
7FFDE000 00001000 data block o Priv RW RW
7FFDF000 00001000 data block o Priv RW RW
7FFE0000 00001000 Priv R R
Нажмите, чтобы раскрыть...

Извините за огромный пост, спойлера я не нашел.

zbacz · 27 сен 2011

WSARecv/WSASend/WSARecvEx ?

DEEP · 28 сен 2011

В порядке бреда:
бряки ставятся на вызовы send/recv внутри дебагуемого модуля, или же на точках входа внутри самих winsock`овских DLL?
если первое — то это легко обходится вычислением адреса «в реальном времени» в каком-нибудь из регистров и последующем вызове через CALL <регистр>.
если же второе — то поддерживаю предыдущего оратора.

lobz1k · 28 сен 2011

DEEP и так и так пробовал, не срабатывают, вообще ниче не понимаю, а реверсить все от конекта, оооооочень долго и нудно.. должен быть проще способ!

zbacz WSARecv/WSASend/WSARecvEx это вроде как обертки send и recv!

T800 · 28 сен 2011

lobz1k
send/recv/WSARecv/WSASend/WSARecvEx - это всё обёртки!

lobz1k · 28 сен 2011

T800 я к тому что WSARecv/WSASend/WSARecvEx в конечном этоге вызывают send и recv.

lobz1k · 28 сен 2011

Есть небольшой прогресс ф-ия WriteFile() передает данные которые в конечном итоге уходят на сервер, в качестве hFile принимает хэндл сокета...

valterg · 3 окт 2011

lobz1k
Ну значит ReadFile читает

Войти или зарегистрироваться

Реверс сетевого протокола

lobz1k New Member

zbacz New Member

DEEP Андрей

lobz1k New Member

T800 Member

lobz1k New Member

lobz1k New Member

valterg Active Member

Войти или зарегистрироваться

Реверс сетевого протокола

lobz1k New Member

zbacz New Member

DEEP Андрей

lobz1k New Member

T800 Member

lobz1k New Member

lobz1k New Member

valterg Active Member

Быстрый поиск