1. Если вы только начинаете программировать на ассемблере и не знаете с чего начать, тогда попробуйте среду разработки ASM Visual IDE
    (c) на правах рекламы
    Скрыть объявление

The Kernel-Bridge Framework

Тема в разделе "WASM.PROJECTS", создана пользователем HoShiMin, 18 ноя 2018.

  1. HoShiMin

    HoShiMin Active Member

    Публикаций:
    5
    Регистрация:
    17 дек 2016
    Сообщения:
    869
    Адрес:
    Россия, Нижний Новгород
    А что ты с ним делал? И кем спалился?
     
  2. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    3.608
    Простите мне моё невежество, но что такое Др2?
     
  3. RETN

    RETN Member

    Публикаций:
    4
    Регистрация:
    4 апр 2020
    Сообщения:
    70
    1. На 2019 не собралось
    2. Др - это отладочные регистры (см. интел маны)
    3. Чуть позже расскажу, дел много
     
  4. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    3.608
    Тогда тут больше вопросов, чем ответов.
     
  5. RETN

    RETN Member

    Публикаций:
    4
    Регистрация:
    4 апр 2020
    Сообщения:
    70
  6. HoShiMin

    HoShiMin Active Member

    Публикаций:
    5
    Регистрация:
    17 дек 2016
    Сообщения:
    869
    Адрес:
    Россия, Нижний Новгород
    Забыл дописать в инструкции, надо клонировать с сабмодулями:
    git clone --recursive https://github.com/HoShiMin/Kernel-Bridge
     
    RETN нравится это.
  7. RETN

    RETN Member

    Публикаций:
    4
    Регистрация:
    4 апр 2020
    Сообщения:
    70
    Гуд
     
  8. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    3.608
    О хоспаде, да я в курсе про отладочные регистры, я имел ввиду, что не понятно, что там у тебя "спалилось".
     
  9. TrashGen

    TrashGen ТрещГен

    Публикаций:
    0
    Регистрация:
    15 мар 2011
    Сообщения:
    818
    Адрес:
    подполье
    Отлажен был железным бряком ж, чо тут понимать?
     
    Indy_ нравится это.
  10. HoShiMin

    HoShiMin Active Member

    Публикаций:
    5
    Регистрация:
    17 дек 2016
    Сообщения:
    869
    Адрес:
    Россия, Нижний Новгород
    Kernel-Bridge и HookLib обрели новый арктический дом!

    upload_2020-8-14_23-32-49.png
     
    TermoSINteZ, Rel и q2e74 нравится это.
  11. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    3.985
    HoShiMin,

    И всё же. Можно крутнуть любое апп, снять всю активность, посмотреть выборку, получить трассу, снять слой протектора ?

    Что есть такое hooklib я может помнил но забыл и не понимаю зачем визору какие то патчи ?
     
  12. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    3.608
    Перехватить некую юзермодную апишку, посмотреть аргументы, с которыми она вызывается до и/или после вызова.

    Кому что, а Индию лишь бы малварь раздевать, вот это я понимаю - перданность своей аверской работе.
     
  13. HoShiMin

    HoShiMin Active Member

    Публикаций:
    5
    Регистрация:
    17 дек 2016
    Сообщения:
    869
    Адрес:
    Россия, Нижний Новгород
    Возможность сделать - есть. Готовой реализации - нет (и не будет).
    Если кому-то понадобится делать трейс через виртуализацию, VT-x это позволяет. В амдшном SVM сложнее, но тоже сделать можно.

    Наоборот - гипервизор, чтобы скрывать патчи.
    Не забывай, что Kernel-Bridge не столько про виртуализацию, сколько про доступ к ядру.
    Виртуализация хоть и занимает в драйвере почётное место, но не является самоцелью проекта.
    Считай, что гипервизор - ещё одна интересная фича, но разрабатывался драйвер не ради неё, и поэтому на звание аналога DBI он не претендует.
     
  14. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    3.985
    HoShiMin,

    > чтобы скрывать патчи.

    Можно узнать что это значит подробно технически ?

    > Виртуализация хоть и занимает в драйвере почётное место, но не является самоцелью проекта.

    Ну это ясно давно, то практически ничего решить нельзя применени нет выхлоп нулевой, но зато автору интересно узнать апи ядра, походу изучения собирая что то без цели в кучу. Давно всё ясно, если что то работает - есть примеры.
     
  15. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    3.608
    Оеп не ищет - значит вообще не проект?
     
  16. HoShiMin

    HoShiMin Active Member

    Публикаций:
    5
    Регистрация:
    17 дек 2016
    Сообщения:
    869
    Адрес:
    Россия, Нижний Новгород
    Ну Инди) О чём спорить, если проект теперь ждёт своего часа в подземных хранилищах Свальбарда в вечной мерзлоте?

    Перед лицом вечности забудем про границы применимости и решения сиюминутных задач.
    Идеи - вечны :yes3:
     
  17. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    3.985
    Вы можете быть как угодно не согласны, мне всё равно. Но если инструмент не может раскрутить какой то upx, то это не инструмент; не важно сколько туда ядерного говна напихали. Имхо, можете не отвечать это смысла не имеет.
    --- Сообщение объединено, 15 авг 2020 ---
    HoShiMin,

    Понятия не имею что это, какой то старый проект связанный с утечкой данных Intel https://software.intel.com/content/www/us/en/develop/download/intel-trace-hub-developers-manual.html

    trace hub" я полистал ман там ничего не понятно.
     
  18. hiddy

    hiddy Member

    Публикаций:
    0
    Регистрация:
    10 мар 2019
    Сообщения:
    73
    Вот наглядный пример, как это может быть реализовано, таймкод 22:30:


    А вот сервис для автоматической распаковки малвари https://www.unpac.me/, там тоже гипервизор под капотом, насколько я знаю.
    Еще недавно открыли исходный код вот этого чуда https://github.com/hvmi/hvmi, достаточно мощный функционал.
     
    Rel и q2e74 нравится это.
  19. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    1
    Регистрация:
    11 июн 2004
    Сообщения:
    3.418
    Адрес:
    Russia
    Предупреждаю. Тема профильная. Любой оффтоп - в бан .
     
  20. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    3.985
    TermoSINteZ,

    Оффтопит только рел, в остальном обсуждение в пределах нормы.

    hiddy,

    > А вот сервис для автоматической распаковки малвари

    Может почитай выше.. гипервизор триггерит системные события, ловушки и тп; для депака/декрипта, короче что бы раскрутить семпл нужно его крутить, трассировать/транслировать. Системных событий не достаточно.