Injected DLL

Z3N
да, но что самое унылое- вы тут не уверяете всех что вы гетеро, повторяя это даже не по десять, а по стопиццот раз.

 

TrashGen

Ну, что вы, не настолько унылое как вы! Я старался вам подражать, но у меня ничего не вышло --- УГ нужно родиться, что вы в лишний раз доказали. Скажи вы это мне раньше, я бы не стал тратить время, эх!

И, да, с математикой у вас туго, после трёх идёт сразу 100500, жаль!

 

Каюсь, грешен. Извините, если незаслуженно обидел... Просто хотелось как-то поумнее. А когда взглянул на исходники RtlImageRvaToVa, понял, что поумнее вряд-ли получится...
Не понятно только одно, почему практически все заражённые экзешники вылетают... Какие-то сразу, какие-то при работе... Только парочка программ работает корректно. Хотя вроде ничего криминального, Total Commander по F3 показывает, что в раздел импорта добавлена библиотека с одной функцией, и она даже грузится, но потом экзешник вылетает с C0000005. Буду благодарен за все соображения по этому поводу, если сам допру, напишу в чём трабла была...

 

ТС
Программу довайте которая изменяет бинарнеки- гадать чо вы там не так сделали канешна интереснее, но всеже

z3n
ваша оригинальная манера говорить одно и то же меняя местами слова('мне тебя жаль','ты унылый','моя жалость не столь уныла', еtc), метать стрелы и обличать всех в излишнем фантазерстве будет очень интересна вашему школьному психологу. Вы уже либо чо нибудь интересное либо нах|й.

 

В силу того, что утиль для заражения является частью ком. проекта, сам текст дать не могу. Но суть довольно проста. Беру экзешник, гружу как файл данных с CreateFileMapping/MapViewOfFile, нахожу таблицу импорта. Затем нахожу в экзешнике свободную область, область заполненную нулями, достаточную по размеру, чтобы вместить таблицу импорта плюс одну структуру IMAGE_IMPORT_DESCRIPTOR, дополнительные структурки IMAGE_THUNK_DATA и IMAGE_IMPORT_BY_NAME, и имя dll-ки и имя функции из dll. Заполняю структуры с учётом fileoffset -> RVa. Записываю Rva IMAGE_THUNK_DATA и IMAGE_IMPORT_BY_NAME в IMAGE_IMPORT_DESCRIPTOR, пишу IMAGE_IMPORT_DESCRIPTOR, за ним копирую старую таблицу импорта. Обновляю DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT]. В итоге PE-вьюеры показывают, что реально добавилась dll-ка с одной функцией. Но большинство экзешников валится либо при попытке запуска, либо не выполняют своих функций...

 

нужно выполнить функу

Код (Text):

1.    EnableMyMind( INFINITE );

 

TrashGen

Но, мне действительно вас жаль.... А то, что я говорю одно и тоже так это не моя вина. Просто вы постоянно один и тот же... вы унылый и мне вас жаль. Как только станете другим, я сразу что-нибудь придумаю новое.

С чего вы взяли? Я и в школе-то его не знал, а уж столько времени прошло с того времени, когда я закончил школу.... Если я приду ему что-нибудь рассказывать, то это будет как минимум странно.

Ну, тут вы привираете. Вы это далеко не все, слава богу. Ну, а насчёт фантазии, так она у вас действительно буйная и явно девиантная.

А, ну, понятно, вы судя по всему выбрали второй путь. Потому, что интересного от вас никогда не слышал.

 

Если вы о том, что свободная область с новой таблицей импорта может выходить за границы секции при отображении образа, то эта ситуация обрабатывается. Новая таблица в пределах секции, но экзешник валится...

 

Товарищ, а по теме вы можете что-нибудь сказать?.. Если хотите поговорить с TrashGen так делайте это где-нибудь в другом месте.

 

Код (Text):

1. DWORD   Timeout = 0;
2.  
3. man {
4.    return EnableMyMind( Timeout );
5. }

а если так?)

 

Это вы сейчас о себе?..

 

HelloweenStranger
ну чо поделать, бог не дал разума...ваш аккаунт заблокирован, видать
лучше бы моском подумал своим чем тут кричать какой ты умный.

Код (Text):

1. PSOMEPROC   Proc = NULL;
2. int main( void )
3. {
4.    if (!Proc)
5.        Proc = GetSomeProcPtr();
6.  
7.     Proc();
8. }

а теперь подумайте что будет при вашем патчинге с поиском нулей, какбы свободных?
[censored]..

 

Ваш аккаунт на доступ к сервису "мозг" по ходу и не существовал никогда... Ищется облась из нулей размером, превышающим размер таблицы импорта плюс дополнения. Ознакомьтесь http://www.xakep.ru/magazine/xa/101/024/1.asp.

Выдержка из статьи:
"Теперь, прокручивая файл, клацаем <PageDown> до тех пор, пока не выйдем на оперативный простор свободного места, оккупированного длинной вереницей нулей. В нашем случае это место располагается по адресу 405810h, непосредственно за концом таблицы импорта ."
Обращаю внимание на мегаацкие строки "простор свободного места, оккупированного длинной вереницей нулей".

Ты прежде, чем умничать, сам подумай... что-там у тебя вместо мозгов не знаю...

 

HelloweenStranger
ты сраный далбайоб, писдуй читай свой ксакеп и не умничай тут, мурло дешевое

 

Проститутка копеечная, уткнись, если говна в башке только на мат хватает!

 

ну вот и холливар - я его прекращаю,а ты, школота - вали полы мыть, здесь тебе нечего делать!
словечек он тут накурился, гуан у него повсюду - подумай, мож гуан у тебя а не в остальных.

 

С твоим "кю" в голове даже полы мыть- интеллектуальная работа, как ты вообще за комп-то добрался, обсосок.

 

да шоб тебя все аверы палили без причины, чтоб сепшины не покидали никогда, шоб твой ось слетал каждый день от злоебучих руткитов - Я ТЕБЯ ПРОКЛИНАЮ!!!

--------------

 

Я бы тоже хотел тебе пожелать, чтобы твой моск окуклился, да уже опоздал по ходу. Он уже давно окуклился, если когда-то был.)))))))))))

 

вот вы жжете

закройте уже этот топ кто-нибудь...