Есессно обойдут :) Я сам знаю как его обойти :) Скоро будет... Главное от существующих защищает, а то .ani exploit порутил всю локалку уже )
Ф-я разгребает очередь APC
Я обновил свой пост... П.С. Разгребание очереди APC происходит не всегда и не часто, поэтому лучше создать поток на NtTestAlert
NtQueueApcThread(hThread,LoadLibraryExW,pvRemoteMemory,0,0) в 2000й винде надо делать GetContext после создания потока, в ХП можно сразу вставлять...
Инжекть APC, а потом CreateRemoteThread (RtlCreateUserThread в висте, в не-висте ею можно запускать только код заканчивающийся ExitThread и ее...
П.П.П.С. На работе делать нех, сказали "тестируй его"... Багов вроде нет, скукота... Индусы готовы сколь угодно долго отсрочить дату релиза лишь...
Локально все протестировал xp/vista/32b/64b короче везде ловит весь milw0rm.com (включая Ret2libc) :) Дайте сцылы на троянские сайты, охота...
Инжекть APC а не Thread, наблюдаются глюки со многими прогами (к примеру Total Commander)... Я скоро планирую написать небольшую статейку, а то...
Ложная тревога... ZwQueueApcThread из 32битного процесса вставляет в качестве адреса заглушку RtlQueueApcWow64Thread, а ее соответственно в...
В общем вроде понял, при инжекте из 32б в 64б параметры APC сливаются (т.к. они реально DWORD а 64б воспринимает их как QWORD) поэтому надо...
Шото у меня даже CreateRemoteThread из 32б в 64б не действует :(
Все получится, просто KiUserApcDispatcher всегда выполняется в 64битном режиме, pRtlQueueApcWow64Thread там заглушку вставляет... Память пишется...
Собсно надо на создании нового процесса заинжектить в него длл. Делаю это с помощью NtQueueApcThread в обработчике NtResumeThread. Но ! Но, но,...
_DEN_ Это была простейшая синхронизация :)
не всегда. например, CreateProcessA -> CreateProcessInternalA CreateProcessW -> CreateProcessInternalW Иногда вообще наоборот, хотя сейчас ен...
crypto add [es:di],al != mov [es:di],al
Кхм... И ? Во-первых 255 байт, а во-вторых исчезла прозрачность бегущей строки...
Или поменять Tyler Durden на PaCHER :) Уже -6 байт :)
Плазма будет на месте стоять тогда... Не, формулу плазмы не менять :)
Каламбия пикчерз представляет... Коль уж скоро тут начали состязаться гуру на оптимизацию, выкладываю свою версию "состязания". Было бы интересно...
Имена участников (разделяйте запятой).
