gribodemon мб так попробовать: DBGPRINT macro pStr, StrLen push ebx push edi xor eax,eax mov ecx,pStr mov edx,StrLen ; OPT. inc eax ;...
Sol_Ksacap Если LdrLoadDll("kernel32.dll") возвратит STATUS_DLL_NOT_FOUND, то бует заюзана LdrLoadDll("kernelbase.dll").
Какой я догадливый http://rsdn.ru/forum/winapi/3789528.1.aspx :) Функа DbgPrint() проверяет PEB.BeingDebugged. В зависимости от него направляет...
Макро для запуска проверки хипа: HsForceFlags equ 10H ; HEAP.ForceFlags HEAP_FLAG_PAGE_ALLOCS equ 01000000H HEAP_SKIP_VALIDATION_CHECKS equ...
Robix Генерация исключения вероятно, при которой кстате может сбрасываться TF, что и есть прекращение трассировки. Хотя тут чтото иное, просто вы...
gribodemon Если после ваших непонятных манипуляций система рушится со STATUS_SYSTEM_PROCESS_TERMINATED то явно изза возникновения необработанного...
Guru_of_Zen Ну да я из практикующих, но никак из шарлатанов. У меня некоторые способности чисто врождённые, не будь их мб я ниочём не задумывался...
kaspersky Если например каждый новый вирь, пусть простой полиморфный с простым декриптором каждый раз изменять, тоесть криптовать тело и изменять...
Guru_of_Zen Такими "шарлатанами" у которых моральные принципы превыше жизни, которые выполняют запретные упражнения и техники, основная из которых...
Postscripter Ничего не рекомендую, сказал ведь ставьте символы и вперёт реверсить.
Codegrammer kernel32.dll/(kernelbase.dll в старших версиях) грузит нэйтив при инициализации, точнее системный лодер в LdrpInitializeProcess()....
garsi сст это детские забавы, с неё можно извращаться как угодно, восстанавливать локально, эмулировать, трассировать и пр. На примерах Эмси Рема...
kaspersky Еслибы это писали не вы, тоесть не Крис, то я бы заценил как бред сумашедшего, ну либо какойто прикол или троллинг, не поймите не...
kaspersky [Не известная инструкция или блок кода.] jmp eax Как это будет обработано ?
ptr Чтото вы не то юзаете. В сервисе NtQueryInformationThread инфокласс #5 это ThreadImpersonationToken. Время жизни определяется через инфокласс...
19841204 А тестовый семпл должен быть писан микодом ?
garsi Допустим юзаете вы функцию ReadFile(), заховали её. Проверяете например чтобы небыла изменена, допустим даже обобо извратились - отморфили...
Aquila Просто сконцентрировался и размышлял над проблемой, в этом нет ничего необычного.
kaspersky Это его дроппера сигна была, разумеется она только для веба, просто пример привёл раз заговорили про рутсока. Не понятно ничего из...
Postscripter Это шелл под олей с отладочными символами.
Имена участников (разделяйте запятой).
