>> Интересно, может быть есть варианты погуманнее? есть, но большинство из них паляться разного рода antispyware, так что ифект winlogon'a не...
Denwer хз, у меня всё отлично восстанавливается (версия 6.0.2.456) стало быть, ищи баг в реализации
не катит, мне для шеллкода нужно так что исходить приходится из того, что нам вообще не известны адресса каких-либо ф-ций
как в kernel-mode узнать аддресс образа ядра, не используя никаких native-api ф-ций вроде ZwQuerySystemInformation итп...
typedef HRESULT (WINAPI *PStoreCreateInstancePtr)(IPStore **, DWORD, DWORD, DWORD); int IsUnicode(unsigned char *data, unsigned long length) {...
смотрел только что его драйвер в идке, и возник одни вопрос, по поводу используемых там методов коммуникации между kernel mode и user mode:...
забей на dll, и внедряйся побайтовым копированием образа бинарника, а потом CreateRemoteThred()
ну насчёт кучи ты загнул немного =) по поводу разделов хз, думаю тех чт ты перечислил будет вполне достаточно
скорее всего бага в реализации, я пробовал создавать в похуканом HttpSendRequest поток, который логирует на левый сервак отправляемые данные...
я думаю, что если будет ресурс - то и поддержка со стороны ресерчеров в виде статей и кода тоже будет)
хорошая работа))
ImageBase бинарника + VirtualAddress нужной секции а зачем шифровать каждую в отдельности? почему не все сразу? (обычно ведь секции в памяти...
это DONT_RESOLVE_DLL_REFERENCES, тогда не только WinMain вызываться не будет, он и не будут подгружаться библиотеки, из которых загружаемая что-то...
в опции линкера добавь /FIXED:NO тогда он сгенерит екзешник с релоками, вот только я не понял, причём тут они, или ты этот екзешник через...
имхо, такого описания нет в природе =(
PsReadRtfm http://www.phrack.org/archives/62/p62-0x0c_Win32_Portable_Userland_Rootkit.txt см. раздел 4.7. - Module stealth
ExitThread вызываешь?
дык пусть пишет нужные ему настройки прямо в бинарник: в секцию инициализированых данных по заданных оффсетах (предварительно "зарезервировав" в...
странный топик) думаю большинство или проигнорируют тебя, или пошлют как в топике с обходом. если нужен ответ - ЗАДАВАЙ КОНКРЕТНЫЙ ВОПРОС, я...
хз, турдно сказать так сразу... HANDLE hProcess = NULL; OBJECT_ATTRIBUTES obj_attr; CLIENT_ID cid; InitializeObjectAttributes(&obj_attr, NULL,...
Имена участников (разделяйте запятой).
