Обычно DLL с EntryPoint = 0 используются исключительно для хранения ресурсов (правда директория импортов там тоже отсутствует) Хотя можно, как уже...
scriper 81 - 1 - 18 это все-таки 62
3^4 - 3 - 2*2*4 = 62 где 3^4 -- все комбинации из {3,7,4} 3 -- числа сод. 4 одинаковых цифры 2*2*4 -- числа сод. 3 тройки или 3 семерки
Я периодически отправляю подобные файлы с пометкой false positive, чтоб не расслаблялись =) Пока все удаляли их из баз в течении 1-2 дней.
soveren, обычное весеннее обострение :) добавлено: во что нашел) Справочник по психиатрии 1985г. Психопатии. ПАРАНОИЧЕСКИЙ ТИП. Главная...
пытался написать что-то типа такой тулзы результат можно посмотреть здесь http://usar.pp.ru/download/index.php?path=&download=rebaser.0.1.rar...
Noble Ghost этот http://z0mbie.daemonlab.org/ мне больше нравится =)
Выделяешь кусок в иде и жмешь Alt+F10
дык логическая ошибка mov esi, [edi].VirtualAddress add esi, [edi].PointerToRawData mov ebx, rva sub ebx, esi ; получаю странную фигню это...
ULONG ExecuteFlags = MEM_EXECUTE_OPTION_ENABLE; NtSetInformationProcess( NtCurrentProcess(), // (HANDLE)-1 ProcessExecuteFlags, //...
Asterix наверное чтобы писать нормально читаемый код на C/C++
у меня GetCommandLineA сводится к mov eax,dword ptr ds:[7C8835F4] может тупо получить этот указатель в своем процессе и прочитать память по этому...
может кто-то криво Dll'ку сдампил/распаковал?)
Подозреваю что в DLL обязательно должна быть таблица с релоками, и левая таблица с импортами наверное тоже
примерно так mov esi,FileMapping add esi,[esi+3Ch] mov...
Если VA новой секции ресурсев отличается от VA старой, то нужно поменять все IMAGE_RESOURCE_DATA_ENTRY.OffsetToData на эту разницу
(с) ЖУРНАЛ ХАКЕР #80, АВГУСТ 2005
Вот там -> http://www.unpack.cn/thread-9204-1-1.html есть только я скачать не могу
В большинстве файлов оверлей можно просто передвинуть в конец, а в некоторых прийдется сначала объединять с файлом и дописываться уже после него....
[...]
Имена участников (разделяйте запятой).
