В этом треде мы изучаем самый компактный и низкоуровневый язык Ассемблер и смежную с ним область: Реверс-инженеринга (RE).Вы пишите на ассемблере или собираетесь начать на нём писать? Программируете микроконтролёры, пишете драйвера для ОС, а то и саму ОС? Вам сюда.Вы изучаете алгоритмы работы закрытого софта, пишите патчи бинарников? Вам тоже сюда.Попрошайки с "решите лабу по асме за меня" идут в общий тред, а лучше нахуй.Книги по RE:Денис Юричев: "Reverse Engineering для начинающих"- бесплатная современная книга на русском языке. К прочтению вкатывающимся и прочим ньюфагам обязательна!Прямая ссылка - https://yurichev.org/b564f46f1c207b2dbc84a2bd4a41ed4c/Рикардо Нарваха: Введение в реверсинг с нуля, используя IDA PRO https://yutewiyof.gitbook.io/intro-rev-ida-pro/Введение в крэкинг с помощью OllyDbg https://backoftut.gitbook.io/intro-cracking-with-ollydbg/https://mega.nz/#!Bc9VVAYC!Vk6CFlW6VIoskLNgDKXbsL6FacDQeOKe6LX92wNicKY Нарваха практический курс по дебагингуhttps://www.goodreads.com/shelf/show/reverse-engineering - список книгСайты по RE:http://wiki.yobi.be/wiki/Reverse-Engineeringhttps://www.reddit.com/r/ReverseEngineering/comments/hg0fx/a_modest_proposal_absolutely_no_babies_involved/http://www.program-transformation.org/Transform/ReengineeringWikihttp://blog.livedoor.jp/blackwingcat/https://yurichev.com/blog/http://wiki.xentax.com/index.php/DGTEFFhttps://exelab.ru/Инструменты для RE:Дизассемблеры:1) IDA Pro Torrent Edition 7.2 | 7.0 | 6.8 на выбор. Иногда ограничения версий x86/x64, патчинг, вылеты прилагаются2) IDA Freeware 7.0 - бесплатная для некоммерческого использования Важные функции/процы/форматы не завезли, саппорт все обращения ксорит побайтово.3) IDA Home - тем, кто реверсит для хобби 365$ в год, ага. Умеет на выбор PC|ARM|MIPS, обычные и х64. Завезли IDAPython, но забыли Decompiler.4) Ghidra - главный конкурент IDA Pro, разработка NSA под свободной лицензией. Тормозной Java UI, гипотетические звездно-полосатые анальные зонды в комплекте.5) Radare 2 | Cutter - консольный + гуй на Qt дизассемблер. Умеет в Ghidra decompiler. Предположительно нужен только клиническим, не умеющим в скачивания торрентов, пользователям альтернативных ОС.6) Hiew - Hex-редактор и легкий x86|64|arm дизассемблер за копейки. AV-ресечеры текут, вирьмейкеры боятся, поклонники st. Криса грят малаца.7) ОстальноеОтладчики:1) x64dbg - х86/64 юзерспейс виндовый отладчик с открытым кодом не Olly же в 2020, верно?;2) WinDbg - родной виндовый дебаггер от MS 32/64 битные приложения, драйвера, анализа аварийных дампов - это все к нему;Все книги и статьи Криса Касперски (R.I.P.)https://yadi.sk/d/CxzdM1wyea4WPhttps://rutracker.org/forum/viewtopic.php?t=5375505https://rutracker.org/forum/viewtopic.php?t=272818Книги по ассемблеру:"Архитектура компьютера" Э. Таненбаум - https://www.libgen.isЮров В.И: Assembler http://booksdescr.org/item/index.php?md5=73957AEFEADCB7F0C112DCAED165FEB6С.В. Зубков: Assembler. Язык неограниченных возможностей.Randall Hyde: The Art of Assembly Language http://booksdescr.org/item/index.php?md5=9C0F88DC623FCE96A4F5B901ADCE95D3Сайты по ассемблеру:Замена почившему wasm.ru- https://wasm.in/ , архив старого сайта https://rutracker.org/forum/viewtopic.php?t=407571 или восстановленный https://vxlab.info/wasm/index.php.htmhttps://www.unknowncheats.me/wiki/Assemblyhttp://asmworld.ru/https://software.intel.com/en-us/articles/intel-sdmhttp://www.nasm.us/doc/https://sourceware.org/binutils/docs/as/index.html#Tophttps://msdn.microsoft.com/en-us/library/afzk3475.aspxhttps://conspectuses.blogspot.com/2019/03/fasmg.htmlДизассемблер онлайн:https://onlinedisassembler.com/Сборник компиляторов онлайн:https://godbolt.org/Для ковыряющих винду и софт под неё, сайты с описанием структур со смещениями и разными версиями оных:http://msdn.mirt.net/http://terminus.rewolf.pl/terminus/http://geoffchappell.com/«Внутреннее устройство Windows» интересующего издания.Документация Intel:https://software.intel.com/en-us/articles/intel-sdmДокументация AMD:https://developer.amd.com/resources/developer-guides-manuals/Документация Arm:https://developer.arm.com/documentation/Разное:Michael Abrash's Graphics Programming Black Book Special Edition http://www.phatcode.net/res/224/files/html/index.htmlhttp://www.phatcode.net/res/224/files/html/index.htmlhttps://www.agner.org/optimize/http://booksdescr.org/item/index.php?md5=5D0F6DBC1410E10BC489167AFE8192DFhttps://www.cs.cmu.edu/~ralf/files.htmlhttps://www.sandpile.org/http://ref.x86asm.net/index.htmlhttps://pnx.tf/files/x86_opcode_structure_and_instruction_overview.pnghttp://www.jegerlehner.ch/intel/Предыдущие:№9 https://2ch.hk/pr/arch/2019-11-11/res/1439555.html№10 https://2ch.hk/pr/arch/2020-03-11/res/1499956.html№11 >>1584716 (OP)
Идея для стартапа. Деплою публичную кукушку как эстонский cert и предлагаю анализ малвари на заказ по ежемесячной подписке как gib. Рекламлюсь в твитере на хайповых новостях и на заказных статьях в тематических сми. Нанимаю других реверсеров в команду по мере роста заказов и становлюсь миллионером. Какие подводные?
>>1748699Поподём в список отечественного по и будем пилить заказы от газпром-медиа? А если они не захотят купить? Как-то не очень надёжно спланировано
>>1748706Нет. Мы с тобой будем пилить DRM систему для Android приложений и игр. Нам передают условно игру на Unity, мы ставим защиту, отдаём аппу разрабу.
>>1748711Гугл говорит в андроиде встроенный есть. Кому нужна альтернатива? И зачем тогда делать отечественую?
>>1748713Нету. Android - это дыра.>>1748713>Кому нужна альтернатива?Коммерческие защиты очень дорогие. В России нет компаний, которые бы занимались защитой приложений мелких разработчиков.>И зачем тогда делать отечественую?Мы ж патриоты, нах.
>>1748697Есть куча бесплатный сервисов, где дело не ограничено кукушкой. Вообщем хз, разве что индусам впаривать.
>>1748755Я про мануал реверс того, что кукушка сочтёт подозрительным. Типа автоматически любой желающий может бесплатно проверить файлик, а если что-то важное, то можно за денюжку попросить живого человека оперативно взглянуть на этот файл.
>>1748773Ну gib же предлагает такую услугу. Только у них ещё и свой форк кукушки выдаётся заказчику. Но я надеюсь у меня и без этого взлетит
>>1748706> Поподём в список отечественного по и будем пилить заказы от газпром-медиа? А если они не захотят купить?Как работник газпром-медиа скажу - не захотят. Всё уже давно куплено и продано за вас. Тем более в компании сейчас массированные кадровые перестановки произошло, нужных человечков-кабанчиков посадили на высокие должности.
Посоветуйте ассемблер/дизассемблер, чтобы можно было без геммора одну команду транслировать туда-обратно в консольке. Сейчас пользуюсь radare2, но у них rasm2 явно поломатый, см. пик.
>>1749682> а поч вирус сам мог писать в секциюА он и не мог. Запусти, попробуй, точно так же вывалится.>>1749806> чтобы можно было без геммора одну командуВозьми питон, capstone+keystone и напиши под себя. Там реально два десятка строк получится, не больше.
Там это, касперский проводит крякми2020. Может кому то интересно. Скачать задания можно без регистрации и смс. В коде страницы есть прямые ссылки. Я сам пока решил 2 и 3, а вот как 1 решать не понял.https://careers.kaspersky.ru/crackme/
>>1748697Отбой. Я передумал. Теперь новая идея. Сделать то же самое, но для андроида. Развернуть андроидную кукушку и сделать публичной. Такой в инете я не нашёл. Похоже моя популярная будет среди независимых ресёрчеров. Принимать заказы на ручной анализ малвари на адроид, а в свободное от заказов время писать статьи. Публиковать бесплатно статьи, а внизу писать, что больше инфы для подписчиков услуги threat intelligence. Как касперский с apt репортами делает. Ну и продавать сигнатуры, хеши, детальный анализ разным антивирусам или крупным компаниям через ресейл партнёров за бугром. Годная идея? Рянок же особо не занят. Хотя спроса на андроид безопасность не много, но тренд на рост есть. Сделает такой стартап меня долларовым миллионером?
>>1750427только самой активной малвари под андройд всего 5-6 штук наверное,лолДа и у гибрид анализса и эни рана вроде есть песочницы под ведраУ первого точно
>>1750064Во второй таске дропер не может создать запустить пэйлоуда, а пэйлоуд не может подключиться к пайпу. От админа запускать пробовал. Есть у кого так же? Как решили?
Ебаный рот, какая-то тварь с Пикабу шапку переписалаЕбал твою мать уебок. Ахах прикольный сайтик да?))) Мудила пидорас блять ещё другие ебики видят эту хуйню и не стыдно даже писать в этот тред. Студентишки зумерки ебучие твари пидорасы каждому ссал в рот
>>1750884>Есть у кого так же? У меня все нормально. >Как решили?Ставил бряк на CreateProcessW в Terminal.exe. Аттачился к процессу apof.bin. Он запакован UPXом. Расспаковал его и сдампил. Потом уже смотрел в дебагер. Очень простой крякми, но сложнее 3, как мне показалось.Сильно не бейте если хуйню сделал и можно проще, я ньюфаг пока.
>>1751032Странно. У меня CreateProcess возвращает ошибку. А какой версии у тебя ида? У меня библиотечные функции сами не задетектились. Даже не стал снимать upx т.к. какой смысл это делать когда процесс даже не запускается. А когда запускаю вручную, то бесконечно пытается подключится к пайпу безуспешно, хотя пайп создан
>>1751041Действительно в ней всё удобней. Я чёт очковал пользоваться пираткой на случай если в каспер на собес позовут и спросят как решал. Поэтому взял бесплатную, а там фичи до 7.0
>>1751082Нет. Вторая самой просто показалась. Но даже её ещё не решил. А долго это будет длиться? Судя по лидерборду всего несколько человек всё решили, а длится оно уже почти месяц
>>1751654https://www.google.com/search?q=%D0%BE%D1%82%D0%B7%D1%8B%D0%B2%D1%8B+%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D0%B0+%D0%B2+%D0%BA%D0%B0%D1%81%D0%BF%D0%B5%D1%80%D1%81%D0%BA%D0%BE%D0%BCНачинай сразу с негативныхНе знаю еще одного человека который бы работал в вирлабах и ушел бы оттуда довольный
>>1751676Я с сюсера тоже проиграл. Джун чисто физически знать про него не может. И вообще это локальный инструмент с соседних форумов, лол.>>1751701А что-то изменилось разве? Малварь все та же, добавляются лишь слои запутывания, новых ботов никто не пишет, винда(натив) все тоже самое. Какие требование к новичку еще могут быть по твоему?
>>1752109> А что-то изменилось разве?Никто такие дебагеры не использует в 2020.Только анальная IDA Pro указана.Ring-0, Perl в 2020?
>>1752299> Никто такие дебагеры не использует в 2020.Какие такие? WinDbg (Preview) единственный ядерный отладчик. > Только анальная IDA Pro указана.Ида универсальный инструмент, аналогам еще расти и расти. > Ring-0Сложные атаки с задействованием драйверов никуда не пропали и даже замечен рост в последние годы. LPE/RCE/DOS/ etc, etc также на уровне ядра работают, напрямую или косвенно. Весь натив апи, которым оперирует малварь - это вызовы системных сервисов ядра.Можно было закинуть конечно владение DBI/EMU фреймворками/движками, но джунам расти до такого.
Ловите подборочку книг.57 Best Kernel Books of All Time:https://bookauthority.org/books/best-kernel-books?t=h2s0g7&s=author&book=1977593372
бывалые реверсачики, подскажите пожалуйстаЕсть задача найти в UEFI прошивке модуль обработки нажатия F2 для входа в BIOS Setup.Согласно пик. 1, логично предположить, что он работает или во время DXE фазы или после работы CMS модулей (модуль поддержки совместимости) или после загрузки DXE.На пик. 2 - файловая система прошивки.Но проблема не только найти соответствующий модуль, на пик. 3 - дизассемблер SECurity фазы, самой первой. И если fninit, cli - понятно что и зачем на старте, то даже дальше что происходит - непонятно.Вот функции обработки нажатия, я предполагаю что логично было бы после инициализации модулей совместимости, то есть после возможности отображать картинку на экране, или в каждый исполняемый фрагмент вставить обработчик или же в векторе прерываний от клавиатуры ссылаться на него. Но это лишь догадки.проблему-вопрос когда-то поднимали челик на exelab.ru (https://exelab.ru/f/?action=vthread&forum=2&topic=26280), но там народ лишь развел руками и примерно указал сторону куда двигаться.Ссылка на файл - (http://www.lex.com.tw/download/bois/CI770A/CI770AA6.zip)Как и некто на exelab - не прошу решать, подскажите куда думать.
Заинтересовался темой Jit, в частности опенсорс asmjit.Хочу попробовать запилить простой верификатор хешсуммы сегментов кода.Допустим, по tcp я буду получать пакет с шеллкодом который считает хеш какого-то сегмента и отправляем обратно.Можно ли посчитать в комбайн тайме размеры сегментов? Можно их перечислить, вроде бы, компилятор на своё усмотрение их делает? Есть ли разница между ос для определения размеров сегментов или начального сдвига?Как вшить в блоб хеш самого блоба вместе с этим хешем?
>>1752513> Можно ли посчитать в комбайн тайме размеры сегментовНельзя. Нужно модифицировать линкер, либо анализировать файл после компиляции.> Есть ли разница между ос для определения размеров сегментов или начального сдвига?Формат файлов PE, ELF, Mach-O, etc.
>>1752507>>1752527https://exelab.ru/f/?action=vthread&forum=2&topic=26280http://www.lex.com.tw/download/bois/CI770A/CI770AA6.zipя как еблэн ссылки в скобки взял
>>1752528>>1752509думаю, что копать надо модуль AMITSE, он выводит графон и предложение нажать кнопочки
>>1752340> WinDbg (Preview) единственный ядерный отладчик.Чего, блять? cdb/ntsd/kd для кого?> Ида универсальный инструмент, аналогам еще расти и расти.При этом IDA уже сосет у гидры. HexRays на свежих компиляторах спотыкается и выдает совершенно нечитабельное говно. С AVX вообще пиздец.> Сложные атаки с задействованием драйверов никуда не пропали и даже замечен рост в последние годы.Тут надо пользователей пиздить палкой, а не ковырять это говно.
>>1752340>Какие такие? WinDbg (Preview) единственный ядерный отладчик.Речь про сиську и оллипервый уже просто не работает в современных системах,второе устарело,тк 32 бит онли
вопрос навскидку: Есть простое немодальное окно, созданноеCreateDialogParam, скрин1. После сворачивания-разворачивания имеем скрин2. Что надо добавить в код? Обработку WM_Size?
>>1752553> Чего, блять? cdb/ntsd/kd для кого?> WinDbg, NTSD, CDB, and KD all share the same debugging engine, so they share all the same commands. The only differences between them is that WinDbg has GUI interface, NTSD, CDB and KD have console interfacesА ты не знал еще скажи. Так и живем.>>1752566Это понятно. В принципе иды и виндбг хватает.>>1752569Разберешься, когда время придет, основные тулзы для глубокого анализа и автоматизации рабочего процесса.
>>1753210создавать модальное окно через DialogBoxParam? Вроде, у немодального какие-то дополнительные возможности/плюшки..Иклезион пишет:"Независимые диалоговые окна дают вам возможность перемещать фокус ввода на другие окна. Пример - диалоговое окно 'Find' в MS Word. Есть два подтипа модальных диалоговых окон: модальные к приложению и модальные к системе. Первые не дают вам переключаться на другое окно того же приложения, но вы можете переключиться на другое приложение. Вторые не дают вам возможности переключиться на любое другое окно. "Имхо, он пизидит, устарел, т.к. на W7 фокус переключается. Далее он пишет об отлтичиях в сообщении WM_CREATE - тоже устарело. Метод тыка показал, что оба CreateDialogParam/DialogBoxParam получают только WM_INITDIALOG.п.с. спасибо, сейчас сам разберусь и отпишу..п.с. от яндекса толку почти ноль, ничего нельзя найти!
>>1753221> создавать модальное окно через DialogBoxParamВообще да. Но можешь продолжать использовать CreateDialogParam. Класс для этого не нужен.> Имхо, он пизидит, устарел, т.к. на W7 фокус переключаетсяЧто касается system modal - да, устарело еще в 9x. Application modal все еще работают. Например, стандартный диалог открытия файлов, если вызываеть его с правильным OPENFILENAME.hwndOwner будет как раз application modal, т.е., заблокирует твое основное окно.> WM_CREATEНе знаю, что именно он там пишет, но вот как раз ради всевозможных WM_CREATE классы для диалогов и регают. Если тебе просто кнопочки, а не выебываться - эти сообщения тебе не нужны, как и кастомный класс.
>>1753221Короче либо выкинь классы, либо осознай, что DialogProc != WindowProc. В первом для необработанных сообщений нужно возвращать FALSE, во втором - дергать DefWindowProc. Сейчас ты вызываешь DefWindowProc, когда это не нужно (менеджер диалогов от тебя этого совсем не ожидает), и при этом ты еще и проебываешь ее код возврата, который имеет значение для WindowProc. Если напишешь две разных и правильных процедуры - спецэффекты тоже должны прекратиться.
>>1753294всё заработало! Как ты и говорил, после замены DefWindowProc на .default mov eax,FALSE .endcТо есть, выходит, WndProc для DialogBoxParam и для CreateDialogParam абсолютно одинаковы!Но мастадонт от мира asm'а Iczelion утверждает, что CreateDialogParam ближе к CreateWindowEx, ей требуется DefWindowProc. И.. его примеры компиллируются на masm и правильно работают!Залил Iczelion на диск , урок №10.https://yadi.sk/d/gAHUFiB4iQT2mAКак этот парадокс можно объяснить?!п.с. может, есть книга, в которой всё это разжёвано?п.с.2. как ты и сказал, можно убрать (для CreateDialogParam - примера выше) регистрацию класса (он уже предопределён), оставить в WinMain только: .while GetMessage(&msg, 0, 0, 0) TranslateMessage(&msg) DispatchMessage(&msg) .endw mov eax,msg.wParam retПохоже, это всё наследие от WindowProc/CreateWindowEx. Для DialogBoxParam и этого не требуется..
Уважаемые asm-олды, помогите пожалуйста разобраться c простым переполнением буфера.Вот тут объяснение с примером си-шного кода:https://ctf101.org/binary-exploitation/buffer-overflow/Вот тут 29 байт готовой полезной нагрузки:http://shell-storm.org/shellcode/files/shellcode-905.phpПри сборке бинарника указаны no-stack-protector и execstack. GDB говорит, что полезная нагрузка легла в стек, сохраненный RIP перезаписан - и дальше выполняется /usr/bin/bash симлинк /bin/sh. Но при этом без отладчика этот же пример с этими же входными данными валится в segmentation fault.Але, я не пони, где моя консоль?
>>1754864ASLR включен?Даже если выключен, то границы адресов стэка в GDB != границы адресов стэка при исполнении программы вне его, во многом из-за переменных окружения.Убедись, что ASLR выключен.Запусти программу в отладчике через env - gdb /path/to/programпропиши:unset env LINESunset env COLUMNSПосле этого команда show env не должна ничего выводить в консоль отладчика.Продолжай дебажить прогу, найди адрес на стэке, куда хочешь писать шеллкод и вполсдедствие перенаправлять instruction pointer, и захардкодь этот адрес в эксплоит. Должно работать.
>>1754864добавлю:Запускай эксплоит следующим образом:(python exploit.py ; cat) | /path/to/programИначе даже корректный эксплоит может крашнуться.А вообще советую изучить либу pwntools, там есть метод interactive() для этих целей, да и вообще там есть много плюшек, которые упрощают написание эксплоита, засим можно полностью сконцентрироваться на исследовании уязвимостей, а не ебаться с написанием замысловатых эксплоитов, жонглируя потоками в шелле и пихая embedded скрипт на пайтоне/перле/баше каждый раз.
>>1755403>>1755407ASLR выключен, но адресация действительно различалась в отладчике и без - зааттачился к уже рабоющей программе, посмотрел/изменил перезаписываемый $rip.Спасибо за советы. Вся эта возня с пайпами, бинарным выводом башем/перлом/питоном, да чтоб порядок байт BE\LE как надо, действительно утомляет - поиграю с готовым фреймворком.
Видос где реверс инженер крякает десятку без активаторов хекс редакторомhttps://www.youtube.com/watch?time_continue=2&v=Cjmdh0tQ_fw&feature=emb_logoключевые моменты заблюреныАнонасы, где найти без блюра?
>>1759699Ну знаешь, Zydis может и обкатан в x64, а этот диз, используется во всех продуктах bitdefender. У меня как-то больше доверия к крупной аверской конторе, чем к разрабу зудиса, который является обычным Васяном.
>>1760074>bitdefenderРаботал однажды с одним из их сдк для кернелдевелопмента. У них там костыли уровня в скиплист можно добавить конкретную папку чтобы скипать все объекты из этой папки, но нельзя отдельный файл. И в документации (ридми в формате тхт очевидно без разметки и навигации) написано осторожней с этим список, а то в эти папку может спрятаться малварь. Всё максимально низкоуровнево и примитивно на плюсах, но в си стиле написано (и юзерспейс и кернелспей код). Могу ошибаться т.к. доступа к исходникам не было, но судя по самплам и докам всё именно так. Они это писали поверх одного майкрософтовского фреймворка. Оказалось они тупо обернули майкрософтовский апи своими функциями, сделали typedef, пару новых структур и свою инициализацию с деинициализацией библиотеки. А и ещё службу с нуля написали, которая проксировала вызовы из юзерспейса в кернелспейс чтобы все приложения могли кернеловские колбэки вызывать. Мы очень быстро переписали весь полезный функционал и отказались от их решения.
>>1760239> Оказалось они тупо обернули майкрософтовский апи своими функциями, сделали typedef, пару новых структур и свою инициализацию с деинициализацией библиотеки.А как надо? Для этого документированный апи и существует. Что за библиотека то?> А и ещё службу с нуля написали, которая проксировала вызовы из юзерспейса в кернелспейс чтобы все приложения могли кернеловские колбэки вызывать.Некоторые сервисы можно перенаправить легитимными механизмами. Или там был хук + перенаправление на драйвер?> Мы очень быстро переписали весь полезный функционал и отказались от их решения.Т.е своровали фичи?
>>1760332> А как надо? Для этого документированный апи и существует.Не знаю. Но большинство их экспортируемых функций были обёрткой вокруг стандартных виндосовских с почти тем же именем и точно такой же сигнатурой. Ничего они не делали кроме того, что свои аргументы передавали в стандартную функцию. Похоже было, что большинство работы они сделали только чтобы вставить аббревиатуру битдефендера в название функции> Что за библиотека то?Кажется та что на пике, но я не уверен. Можешь загуглить если вся пдф нужна> Некоторые сервисы можно перенаправить легитимными механизмами. Или там был хук + перенаправление на драйвер?Хуков не было. Был какой-то простенький самописный протокол коммуникации поверх дефолтного способа передачи буфера. И в зависимости от данных в буфере драйвер решал какую функцию с какими данными вызвать. Обычно просто на разные события ставились разные колбэки обработчики>Т.е своровали фичи?Ну почти. Там почти не было фич. Просто немного модифицировали виндосовкий апи. Мы прямо на этом апи и стали делать. Изначально руководство даже не понимало что они хотят. Отправили смотреть на разные опенсорсные технологии и этот сдк купили. Я тоже не понял что они хотят. Просто отреверсил драйвер, а дальше другая часть команды свой клон писала. Суть в том, что они продавали либу по сложности пет проекта с функционалом, который и так почти весь в винде был.
>call 7<init_module+0x7>Но по офсету 7 нелегальная ебуда. Либо я не понял синтаксис, либо скажите пожалуйста чем/как дизассемблировать модульный образ.
Аноны, может кто разжевать как правильно запилить trampoline при detour на функцию stdcall? Стек и регистры портятся и всё ломается, второй день ебусь. Оригинальный кусок кода до вызова хука или после выполнять? Как правильно функцию хука вызывать и выходить из неё, чтоб не запарывало стек/регистры?Смотрел на гитхабе как в либах сделаны хуки, но нихуя не понял. Detour делаю через jmp rax по абсолютному адресу.
>>1762644виртуалку, протектор опиши, не знаю.хотя это не малварь.малварь - winapi если винда. методы неявного вызова функций, перехвата библиотечных функций и т.п. зайди на форум реверсеров и почитай статьи как что ломалось и поймешь о чем писать. а о малварях на хакере можно почитать, чтобы понять чем заинтересовать читателя диплома.
>>1748697>>1750427Всё. Теперь новая идея для стартапа. Incident responce по страховке на линукс инфраструктуре для малого и среднего бизнеса плюс threat intellegence. Никаких больше кукушек. Теперь только партнёрство с интеграторами. Каждый раз когда к ним приходит небольшой энтерпрайз закупить серваки циско на 100к долларов они предлагают заказчику страховку от взлома с одноразовой выплатой или рассрочка на год и берут с этого свою комиссию. Я же взамен обещаю бесплатно среагировать и починить инфраструктуру если случится атака один раз в год. Собираю команду из пяти человек и по мере необходимости реагируем на инциденты клиентов, а когда реагировать не надо, то делаем ресёрч и рассылаем threat intellegence. Как вам идея?
>>1764127>Всё. Теперь новая идея для стартапа. Incident responce по страховке на линукс инфраструктуре для малого и среднего бизнеса плюс threat intellegence. Никаких больше кукушек. Теперь только партнёрство с интеграторами. Каждый раз когда к ним приходит небольшой энтерпрайз закупить серваки циско на 100к долларов они предлагают заказчику страховку от взлома с одноразовой выплатой или рассрочка на год и берут с этого свою комиссию. Я же взамен обещаю бесплатно среагировать и починить инфраструктуру если случится атака один раз в год. Собираю команду из пяти человек и по мере необходимости реагируем на инциденты клиентов, а когда реагировать не надо, то делаем ресёрч и рассылаем threat intellegence. Как вам идея? Слаженная зондеркоманда пыневиков/вагнерят/ЕНОТов/ветеранов АТО умеющих в пытки утюгом паяльником и избавляться от трупов есть? Знакомые погоны ГДЕ НАДО есть? Без всего этого threat intellegence не взлетит.
>>1764132>Без всего этого threat intellegence не взлетит.Не. Это будет customized osint ti плюс внутренний ресёрч для malware driven ti. Типа хеши фейлом взять в разных misp комьюнити, а потом разыскать сами файлы, проанализировать и написать сигнатуры детектирования более продвинутые, чем просто хеши. Такой формат ничего из того, что ты описал не требует
>>1764140>Не. Это будет customized osint ti плюс внутренний ресёрч для malware driven ti. Типа хеши фейлом взять в разных misp комьюнити, а потом разыскать сами файлы, проанализировать и написать сигнатуры детектирования более продвинутые, чем просто хеши. Такой формат ничего из того, что ты описал не требует А , ну так епта, добро пожаловатьhttp://www.consultant.ru/document/cons_doc_LAW_10699/a4d58c1af8677d94b4fc8987c71b131f10476a76/Полотенце перешагивать будешь?
>>1764156Во-первых я не буду рассылать вредоносы, а только сигнатуры. А во вторых это обычная практика в индустрии и сомневаюсь, что я окажусь первым, кого за это посадят
>>1764200>Во-первых я не буду рассылать вредоносы, а только сигнатуры. А во вторых это обычная практика в индустрии и сомневаюсь, что я окажусь первым, кого за это посадят ТАААК, КАНТРОООЛЬНЫЕ МААААСОЧКИ ШОУ ЧЕРНЫМИ ЧЕЛОВЕЧКАМИ ЕБАЛОМ В ПОЛ, НЕ ДВИГАТЬСЯ СУКА. @ЧТО ТУТ У НАС ?@ ААА ФЛЕШКИ, ХАРДЫ ССДШКИ, ТАК ДЭНЧИК, ЭТО ВСЁ НА ЭКСПЕРТИЗУ. ДА, КОМПЫ ТУДА ЖЕ@ОППА,ПРИЗНАКИ ВРЕДОНОСА, НЕ, НУ ЭТО НЕ, ЭТО ДЕЛО СРАЗУ, 272 НАХ ОТКРЫВАЕМ, ТАК ПИШЕМ СОДЕРЖАНИЕ ПОД СТРАЖЕЙ, НИКАКОЙ ПОДПИСКИ. @ПРЕСС-ХАТА В ПРЕСНЕ@НУ ЧТО ЧЕЛОВЕЧЕК, ЩА ТЫ РАССКАЗЫВАЕШЬ ГДЕ ДЕНЕЖКА ЛЕЖИТ, А ТАК ЖЕ ВОТ РУЧКА, ВОТ БУМАГА ЗАДНИМ ЧИСЛОМ НА ДОЧКУ ПОЛКОВНИКА. И ДА, ТЫ ОСОБО НЕ ДУМАЙ, ИНАЧЕ ЭТА РУЧКА ЕЩЕ НЕ ФАКТ ЧТО ТОЧНО В ДЫРКУ В ТВОЕМ ПЕРДАЧЕЛЛЕ ПОПАДЕТ, А НЕ НА МИЛИМЕТР ПРАВЕЕ
>>1764200И да, что бы не быть голословным(>>1764229):https://www.bbc.com/russian/news-44151638А чувачок всего лишь очередной маняавтокад писал.
>>1764396Угу, до стадии когда у тебя будет что можно вымогать ты не дотянешь, тупо за палку по хакерам хлопнут тебя и дадут условку или пару лет поселка которые ты к суду уже отсидишь в СИЗО.
>>1764520А чё такого? Всякие чуваки из твитера же темы мутят. Чё я не могу? Реверсом в россии серьёзно на аутсоср только групайби и соцы занимаются. Все остальные подзабили на это направление. Но если для того чтобы закупиться тдс от групайби нужны бюджеты газпрома, то всяким мелком конторам может быть удобней услуга по подписке, которую почти никто не предлагает. И тут появляюсь такой я, который предлагает интегратору купить пакет на 100 секьюрити репортов в месяц написанных вручную опытным реверсером, а интегратор продаёт их в розницу своим заказчикам. Осталось нанять опытных реверсеров и начать поднимать бабки. А? Неужели никто не думает, что идея хорошая?
>>17652037.3 - это релиз какой-то группы, которая заморочилась и собрав несколько копий 7.3, вывела общее среднее, которое не содержит отпечатков пальцев. А декомпиляторы они релизить в паблик не собираются, только для своих внутри группы.А 7.4 - это floating license installer со всеми потрахами. Вот только пароля блеять нету
>>1764841попробуй ghidra от анб. она просто уничтожает ильфака. там есть все и она кроссплатформенная. правда жаба тяжеловата. только загугли как зонд убрать и не пользуйся с рабочей
>>1765410Ждем, что покажет 7.4. Мне приходится изредка переносить свою базу на новую версию бинарника программы. И эти козлы любят немного менять порядок полей в классе. Поэтому вот эта фича нужна как воздух
Поясните. Можно ли в гидре (или еще где) подать на вход ассемблерную инструкцию с операндами, а на выходе получить состояния регистров, измененных данной инструкцией с операндами? Например, через stdin/stdout. Как вообще такое сделать, что-тотничего похожего нагуглить не могу...
>>1765636> bochs debuggerХм, интересно, спасибо. А более классические дебаггеры, хоть GDB, так не могут?
>>1765744В теории не должны т.к. обычные дебагеры запускают настоящий процесс, вставляет инт3 в кусок исполняемого кода, а потом по одной инструкции смотрят что в процессе исполнения поменялось. А тебе нужен какой-то эмулятор, который без запуска процесса просто скажет какие изменения делает какая инструкция. В r2 ещё кажется такая штука есть. Там кажется даже можно эмалировать код с другой архитектуры. Типа арм шелкод на х64 системе запускать и смотреть что он делает.
>>1765410Ты просто готовить не умеешь, один бинд F5 видимо только используешь. У меня за 1-10 минут любая функция в неотличимый си код преобразуется.
>>1765912> Эмулятор, учи мат. часть.Я за матчастью и пришел. Любой эмулятор? Выше посоветовали bochs и r2, я просто пытаюсь понять, в какую сторону вообще смотреть.
>>1766024Пиши кастомный эмулятор (правда, если это на CISC архитектуру, то там работы жопой жуй), заодно будет солидный пет-проект в копилку.
>>1766394Это только процессор эмулирует? Надо ещё чтобы задействованные адреса памяти отображал, инструкции же могут менять содержимое памяти тоже.
>>1766498процессор 99.9% времени перекладывает числа из регистра в регистр. Без имплементации адресного пространства для эмулируемого процесса ты нихуя не сэмулируешь. Похоже, ты слабо представляешь как работают эмуляторы. Загугли, пчел.
>>1764547лучше найти дуру в популярном по. это как филосовский камень прям. главное закон не нарушать.
>>1767573>>1764547ну т.е. дыры искать тоже профитно.правда это не вайтхет дела, если будешь эксплуатировать или продашь.правда почти нихуя не делать и сидеть ждать когда понадобится помощь тоже умно.
подскажите:1. куда переехал exelab? Называют "реверслаб" какой-то.. Дайте ссылку, т.к. пробовал reverslab.ru и reverslab.com - нет таких сайтов. Хуяндекс давным давно нихуя не ищёт..2. что с сайтом purebasic.info? Уже неделю лежит! Хостинг копеечный - 70р в месяц. Не думаю, что денег на оплату нет - скинулись бы (это же не абу..)
>>1767623>>никуда он не переезжалтеперь это подментованная параша хуже мейлача.. Ссылку давай! На васм тоже сто лет на заходил, с тех пор, как аквила свой сайт просрал со всей личной перепиской..
>>1767637Да тебе не похуй долбоеб?Кто тебя искать будет?А если бы и искали,ты думаешь бэдгай бы не выдал твои данные европолу?
>>1767644мне - не похуй, долбоёба в зеркале поищи. Надеюсь, бэдхуй хотя бы бабла срубил норм. Если в этой конторе ЗП до 500к в месяц, то уж пару зарплат он получить должен был! Для сайта такого уровня, посещаемости и целевой аудитории - это норм. За пару лямов продал дохлый форум)))
если очень волнует, можешь скачать или спарсить все что есть и перехватить инициативу.один хер - без доверия купленный форум затонет.
>>1767721охлол, кто-то так и сделал.анонасы, что скажете насчет софта на exelab? нет ли там троянов?нормальные ли хэши файлов или вирустотал такое впервые видит?
Существует инструмент для динамического логирования виртуальной памяти процесса? То есть запускаю программу в виртуалке, а он следит какого размера с какими правами аллоцируются чанки в куче и что туда записывается. А я потом по завершению работы программы вижу, что программа аллоцировала кусок памяти с правами на запись и исполнение, а потом записала туда какие-то данные. А потом просто извлекаю из дампа то, что программа туда записала. Помню в каких-то песочницах была возможность дампы памяти каждую секунду собирать, которые потом можно в волатилити загрузить. Есть ещё что-то похожее?
>>1768605>не может подобрать простой пароль>называет кого-то бомжамиМожет тебе ещё решение сказать.Даже на моём сральном ведре крякнулся за минут 10-20.
>>1768605>>1768636Как то странно время считается, можете чекнуть. Оба варианта на пике были опубликованы спустя 10 мин после регистрации. В первом варианте задания были опубликованы по отдельности 5 мин + 5 мин и каким-то образом получилось 15 мин. Как будто ко времени с начала реги прибавляется последнее время из таблицы.Во втором варианте 2 задания были опубликованы сразу за 10мин, а получилось 20 мин. По такой логике получается, что отправлять резултаты лучше по отдельности, быстрее будет. Почему так? Может я ебанулся уже.
>>1768936>Забей. Никто всё равно не поверит, что ты решил за 20 минут Причем тут это.Ну смотри, если я решаю за 24 часа 2 задания. Отправляю 1 решение спустя 12 часов после реги. Спустя 24 часа после регистрации отправляю 2 решение. Казалось бы должно получится 24 часа, но получится 24 + 12 = 36 часов.А если отправить сразу 2 после 24 часов в результате получится 48 часов.Так понятней?
>>1768951На сайте касперского надо указывать ник в 10 чаров из-за того что алгоритм в 3 таске принимает чанк такого размера? Браво! Браво! Это просто охуительно! В след раз они сами ники будут раздавать: baitosos, exploit_mne_v_zhopu. Красавчики ребята, вот так надо опускать байтопетухов
>>1769528Думаю да. Мне тоже ничего не приходило. Даже после отправки всех решений ничего не приходит.
>>1769715В смысле ПитухОС или в смысле Punix?Если первый - то стандартный набор из лахты-карманова из конца нулевых-начала десятых когда он еще не работал на пыньку. Жирно, но работает.Если второй - то там уже нужно по-английски и это надо учиться на форчан в политач. Потому что пользователь пролобированых в пиндосское образование калькуляторов от техасов никем иным как чистокровным пиндосом быть не может.
>>1769759>пользователь пролобированых в пиндосское образование калькуляторов от техасов никем иным как чистокровным пиндосом быть не можетэто в /zog/
>>1771127Погоди, ты про пароль от архива или про пароль от самого крякми? Если про архив, то пароль брутфорсится. Пароль от архива: infectedЕсли про пароль от крякми, то тут хуй знает, что сказать. Просто и без задней мысли дебажишь. Проще тебе решение спалить, алгоритм там очень простой. Насколько я помню там свитч кейс переходы, которые от входных данных не зависят, так вот бери и проходи все переходы, делай пометки.
>>1771276>infectedА это что-то вроде правил гигиены среди AV-ресерчеров (менять расширения на неисполняемые, пихать в архивы)? Подобный пасс из разряда дефолтных?Мимо-другой-анчоус.
>>1771276>infectedСпасибо. Я пробовал, но с первого раза не подошёл и я из ответов в треде подумал, что его брутить надо. А на самом деле скорее всего неправильно ввёл
>>1771384Да,под архив и в неисполняемые чтобы случайно не запустить на основном хосте малварь,а сам инфектед очень давно используется,вроде с какого-то малварного трекера
>>1766116>солидный пет-проект в копилкуА хуле его там писатьто. память, стэк-хуек, командная оболочка, регистровый файл.
>>1772816Это примитивно. Надо еще мусор удалять, датафлоу смотреть, солверы подключать. Вот и будет что писать.
>>1772816А еще soft mmu, парсер РЕ/ELF/MACH-O (смотря на какую ОС пишешь), эмуляция ммап/хуки на маллок/аппаратная эмуляция по надобности и дохуя чего прочего, если ты хочешь написать нормальный эмулятор. Ну и JIT можно прикрутить, а там cache и кастомный ассемблер. Да и дебажить это чудо порой непросто.
>>1772989Так это уже выходит не CPU эмулятор, а целый DBA фреймворк. Ну тогда еще DSE туда прикрутить, program synthesis и перекомпиляцию в blackbox режиме. А что?
