Как запустить из программы процесс?

D34DC0D3_R,

> Уже не первый раз замечаю, у Вас, какая-то странная техника чтения, вы пропускаете слова

То как я говорю вас волновать не должно. А есчо <-- я допускаю иногда ошибки намеренно, стиль такой. Претензии шлите не сюда, а вот сюда http://filologia.su

> В общем вот мой код, надеюсь Вы тоже покажете свою реализацию, желательно что бы она работала :

Смотрим ваш шелл:

Код (Text):

1. BA C793BF77  mov edx,77BF93C7
2. FFD2  call edx

Вы задали какой то фикс адрес, оно должно и будет крэшить.

Ну и я вам ничего не должен, кода тоже не будет никакого.

 

Я смотрю какие-то еще и сами додумываете) ну да ладно.

Я задал не фиксированный адрес, а адрес памяти, которую я выделил с помощью VirtualAllocEx()
И наличие правильно записанных байт по этому адресу я проверял.

Доб:
Да, кстати, аналогичным способом у меня был реализован DLL Injector для Reveletion Online. Который кстати работал...

 

D34DC0D3_R,

> Я задал не фиксированный адрес, а адрес памяти, которую я выделил с помощью VirtualAllocEx()

Адрес 77BF93C7 это системный, что бы выделить память по этим адресам нужно указать спец флаг. Память гранулярна, а этот адрес указывает вникуда. Вы тупо скопировали шелл из первого поста, не имея представления что это такое.

 

Нет.
BA C7 93 BF 77 - MOV EDX,77BF93C7
FF D2 - CALL EDX

 

Thetrik,
Оу... вы про шел... прошу прощения)) Я его даже и не смотрел, честно... Я думал вы про мой код.
Да Indy_, Вы правы, я тупо скопировал шел с первого поста.
Извиняюсь

 

D34DC0D3_R,

С этого и нужно было начинать. В #6 я сказал ведь что данный шелл никуда не годится, те кто задал вопрос должны были дизасмить его что бы выяснить логику работы, а не копировать и исполнять.

И впрыск через изменение контекста у вас не корректный. Вы пытаетесь установить rEip в контексте, не зная что это сделать нельзя - этот регистр нельзя изменить до старта потока(вроде как, но точно не помню), он указывает на стартап APC. В вашем случае изменяется один из регистров Eax/Ebx - через них происходит передача управления на юзер код(entry point").

 

D34DC0D3_R, почему бы не записать код в entry-point exe? И просто без всякой подмены контекста unsuspend'ить?

 

Ну я легких путей не ищу.
Ну а если честно, я что-то и не подумал. У меня так часто - "изобретение велосипеда", да и колеса за частую квадратные
Хотя думаю по моим коментам кода это и так понятно )