HoShiMin, > можем ли косвенно определить, что стек подозрительный? Не заворачивайся на этом, поверь это тупик. Можно любые фреймы сформировать....
HoShiMin, Я только хотел написать что ты не разговорчивый совсем.. :sad: > мог ли поток оказаться там, где оказался, исходя из всех предыдущих...
Я бы несанкц. попытку доступа к памяти обнаруживал, а затем спустя некоторое время изменял логику работы. Это на win очень просто сделать,...
HoShiMin, Что думаешь на счёт этого всего ?
С RtlEncodePointer не вышло из за коллизии хэшей. Оказалось есть RtlEncodeRemotePointer(), которая аналогична. Можно из другого процесса этот ключ...
Прикинул как можно управление получить переписав глобальный указатель, их не много. Для исключений указатели шифруются RtlEncodePointer(). Ключ...
ormoulu, https://github.com/stephenfewer/ReflectiveDLLInjection/blob/master/dll/src/ReflectiveLoader.c if( !pDllMain( NULL, DLL_QUERY_HMODULE,...
HoShiMin, Так ведь нужно было с тестов и начинать. Вот есчо твой косяк - можно изменять тип доступа к секциям любого модуля и никакой реакции...
TrashGen, У меня для тебя новость что есть в юзермод несколько режимов, это legacy & compatibility. Различаются разрядностью и сегментацией. Но...
Thetrik, Так что с семплом выше, падает или нет ??
TrashGen, > кроссач в той и другой разрядности проца Норм отладчик выбирает диз и контекст на основе текущего режима(кодовый сегмент, eg: LAR)....
HoShiMin, Инжект через запись в память, тоже не палится: [ATTACH] HoShiMin, Вот твоя ошибка. [ATTACH]
У всякой защиты есть принципиальная узвимость - её наличие. Если есть какой то драйвер, это отличный обьект для атаки. А без уязвимостей в таких...
UbIvItS, > в этом, кстати, и проблема твоего визора == ты ручным реверсом выдёргиваешь некий шаблон защиты, Нет, он возвращает инфу что бы...
Последние сообщения тут ниочём. Мне нечего ответить. UbIvItS, > можно отследить лишь чрез отладку Ты попробуй для начала, потом расскажешь как...
HoShiMin, Попробовал обойти проверку целостности. Можно накопить адреса, откуда происходит чтение: [ATTACH] Далее пропатчить их на стабы и...
HoShiMin, > Здесь, как ни крути, для защиты нужны твои визоры Смотри вот что под визором у тебя. На первом скрине в лог идут базовые события,...
HoShiMin, Почему же не известной, она ведь выделилась в твоём потоке(доверенный поток отобразил область). > По идее, проверка трейса должна...
HoShiMin, Это если загрузить с диска. [ATTACH]
Переделал немного иначе. SetContext -> MapViewOfSection -> CreateThread. Тогда в новом потоке можно попробовать безопасно загрузить что нибудь. На...
Имена участников (разделяйте запятой).
