Я конечно понимаю, что попрошайки идут нахуй и т.д., в общий тред написал, но думаю там не помогут.
Препод задал написать на ассемблере 2 проги: одна складывает двоичные числа размером 1 байт без учёта знака, другая - с. Либо всё это в одном, я хз. Может помочь кто-нить?

>>960670
А чому сам не можешь? Ведь вы всего лишь учитесь. Сиди, пробуй, эксперементируй. На время учёбы в универе ты должен самостоятельно делать подобные вещи, ибо из тебя даже червя-пидора не выйдет

В инете полазил, нашёл оба варианта (там разница судя по всему только в sing и unsign, более менее понятно всё), но компилятор ругается на команду movzx, не подскажете, что с этим делать?
>>960670 - анон

>>960694
sign*

№1 https://arhivach.org/thread/223223/

>>960640 (OP)
Спрошу тут может кто знает как в VS2017 С++ проект скомпилить в исполняемый файл с одной секцией. в 2013 получалось в 2017 всегда создает .rdata и .text

>>960713
У меня вот такой закомментированный код есть.
//#pragma comment(linker, "/SECTION:.text,EWR")
//#pragma comment(linker, "/MERGE:.data=.text")
//#pragma comment(linker, "/MERGE:.rdata=.text")
А как ты делал в VS2013?
>>960694
Ты хотя бы ошибку напиши и компилятор укажи.

>>960713
>>960746
А зачем вам это нужно? Какой с этого профит?
мимо-сишник

>>960640 (OP)
В шапке отсутствуют https://beginners.re/ (да Юричев есть, но стоило бы сделать акцент) и http://wiki.xentax.com/index.php/DGTEFF что несколько странно.

>>960763
Спасибо. Не знал про эту книгу.

>>960755
Может он вирус пишет и хочет, чтобы всё было в одной секции.
Ещё один сишник

>>960746
в vs2013 если не использовать внешних библиотек и указать точку входа получалось + оптимизация на минамальный размер, интересно почему .rdata всегда вставляется перед .text если использовать #pragma comment(linker, "/MERGE:.rdata=.text") и причем она генерится одинаковая для разного кода.

>>960780
А что линкер пишет? Попробую вечером, если до этого не разберешься.

>>960783
Я имею ввиду, они-то объединяются в одну, но данные секции вставляются перед .text, причем её можно просто удалить(.rdata) и работоспособность программы будет в норме. Мне интересно зачем vs2017 вставляет эту херню в каждый исполняемый файл.

>>960640 (OP)
Как вы думаете реально ли быть профессионалом в программировании(неважно на каком языке) не работая нигде и никогда, но имея образование. И какое больше направление подходит для людей который не хотят(или не могут) с этим иметь дело?

>>960786
>Мне интересно зачем vs2017 вставляет эту херню в каждый исполняемый файл.
Мб телеметрия?

>>960791
Реально если пишешь что-то нужное для себя хотябы. Образование в снг курам на смех.

>>961080
В смысле нужно или не нужное для себя? Просто заметил на собеседованиях неуважительное отношение когда узнавали, что не работал, а проекты мои личные. Ребята которые сидят на работе мнят себя спецами.

1. VEH потокобезопасен? Одновременно может быть только один вызов?
2. Когда сработало исключение PAGE_NOACCESS, что делать дальше? Как разрешить чтение/запись только одной инструкции? Дизассемблировать и смотреть, какие регистры участвуют и самому копировать необходимые данные?
3. Как действовать после брекпойнта (программа не под отладчиком, брекпойнты мои)? Как отладчик делает, когда останавливается на брекпойнте? Ведь один байт затёрт, нужно восстановить его и заново выполнить инструкцию. А после как устанавливают брекпойнт? Отладчик включает пошаговую трассировку и после одного шага устанавливает байт?

>>961129
1) Очень вряд ли.
2) Проверяешь тип исключения, возвращаешь родной доступ к странице, выставляешь TF в Eflags в сохраненном контексте, говоришь continue execution, получаешь исключение, проверяешь тип, восстаналвиваешь NO_ACCESS, ну ты понял (как вариант, можно ставить PAGE_GUARD вместо NO_ACCESS, тогда будет одним системным вызовом меньше). Если ты про совет из прошлого треда, то да, немного дизасма понадобится: табличка с типами инструкций (можно спиздить из опенсорсных движков) и разбор всяких SIB/ModRM/displacement (можно взять опенсорсный движок целиком).
3) Да. Алсо, есть хардварные точки останова, с ними жизнь проще.

>>961391
1. Проверил, для каждого потока свой вызов. Поэтому не потокобезопасен.
2. Видимо, это самый простой способ. Неужели в отладчиках так же сделано? Ведь между тем, когда доступ разрешён и повторным исключением пройдёт много времени, хитро настроенный второй поток может успеть между этими событиями прочитать или запись данные и останется незамеченным. Тут нужен бы эмулятор.
>тогда будет одним системным вызовом меньше
Ты про то, что PAGE_GUARD сбрасывается? А то смотрю, что возвращает VirtualProtect, а этот бит уже сброшен.
>можно взять опенсорсный движок целиком
Взял дизассемблер от OllyDbg, а он XMM инструкций не понимает. Краем глаза посмотрел на x64dbg, так там враппер вокруг дизассемблера больше по размеру, чем сам дизассемблер. Надо от qemu ещё посмотреть.
Как и ожидал, после установки TF бита отладчик сам останавливается на следующей инструкции. Не очень удобно.
3. Слишком много мест, их не хватит.

>>961749
В x64dbg capstone вроде. capstone жирный (там овердохуя таблиц для скорости), но весьма неплохой.

>>961788
>В x64dbg capstone вроде.
Одуреть, это ты по памяти помнишь, какой дизассемблер в отладчике. Сам только вчера смотрел, но, тем не менее, не вспомнил бы названия. Меня отпугнуло то, что очень большой враппер был вокруг него, хотя и не смотрел, что там, думал, что заставить работать его будет трудно. А оказалось, что пользоваться им очень легко. И главное, он XMM понимает, чего мне не хватало.
Может подскажешь какой-нибудь эмулятор х86. Очень бы не хотелось писать самому, долго будет очередной велосипед делать. Нужен достаточно простой, но с установкой своих начальных значений регистров и некоторых обработчиков типа записи и чтения памяти. Как в плагине к ida x86 emulator.

>>960640 (OP)
Антохи а как можно с дженерик говнокода на асме сделать специфический для моего процессора?

>>961914
Написать компилятор.

>>961863
Чего-то запутался уже с исключениями. Если, попав в VEH обработчик, взвести бит TF, то после выхода из него и возобновления работы программы будет исключение EXCEPTION_SINGLE_STEP. Но флаг остаётся взведённым? Потому что у меня никак не получается поймать это исключение. Как только управление передаётся в юзер спейс, опять будет это исключение? И так до STATUS_STACK_OVERFLOW.
Читаю про dr-регистры. Их-то можно поймать в VEH обработчике? Или надо отдельный процесс делать? Первая попытка не удачная.

Анон, либо я дурак, либо создатель проги поехавший. Рассуди нас. Есть два числа C6 и 40. При сложении получаем 106. Что мы получаем во флаге SF на деле? Значение D7 или значение самого старшего бита? Заранее благодарю.

>>962001
Компилятор из С собирает асму. А у меня asm выхлоп, бинарный блоб драйвера.

>>962632
Компилятор из C может собирать что угодно. Тебе надо сделать дизассемблер с asm, перевести его в промежуточный опкод, а потом конвертировать в ассемблер твоего специфичного кода. В llvm есть что-то подобное с возможностью переводить из одного языка программирования в другой. Тебе нужно будет написать соответственно для асма x86 и своего языка.

>>964364
Они нужны для работы malloc/realloc вестимо.

>>964364
Ну судя по названию, ты прав, это exception filter и finally handler. Что-то /EHsc с собой тащит, может быть?

>>964383
Да, так и есть, воткнул в except вызов функции- этот самый RtlZeroHeap_filt_0 объявился сам.
Правда не очень понимаю, как мой код трансформируется в эту фигатень. Ладно, буду экспериментировать и читать про структурированную обработку исключений.

Как получить значение xmm регистров в 32 битной Windows? Где они в структуре CONTEXT.

>>964702
Нашёл, XMM_SAVE_AREA32. Почему-то они только для 64 битной ОС определены.

https://github.com/hteso/iaito

Привет, аноны! Кто то из вас пользовался дебагером DEBUG? Если да, то можете, пожалуйста, пояснить за него? Заранее спасибо!

>>965975
А что тебе пояснять? Мануалы есть в сети. Сам по себе он 16-битное говно мамонта, про многие инструкции не знает. Если есть конкретная проблема - спрашивай.

>>966066
А OllyDbg намного лучше? Есть ли какие нибудь задачки для начинающего дебагера?

>>966098
Да, OllyDbg намного лучше. А возможно, стоит сразу на x64dbg посмотреть.
> Есть ли какие нибудь задачки
Как же вы заебали. Придумай сам себе задачу. Отлаживай собственные программы. Возьми коллекцию крякми и взломай их все.

>>966108
А как крякать то
как уточка?

>>966109
Отслеживать вызовы подпрограмм, смотреть, какие регистры заполняются, какие структуры в памяти заполняются.

>>966145
Попробую нарыть гайд по этому, спасибо!

>>966153
Статьи на экзелаб, не плагодари.

>>967390
>Написал небольшую программку для линукса (хеловорлд) https://pastebin.com/d6Zfm8Rn
>Когда скомпилировал через gcc hello.s -o hello вышло 8200 байтов. Почему?
А почему ты GCC юзал?
Есть as(часть gcc), и другие ассемблеры.
strip -s helloworld не забудь.

>>967390
Потому что crt, которая в твой main управление передаст.

>>967638
Сам ты передаст.

Всем здарова. Вкатываюсь в реверс после курсов по ОС, архитектуре и 16-битному асму моего универа (асм на бумажке писал только). Хочу как у Юрича в Reverse Engineering писать простые программы и дизасемблировать их, но получаю гигантские простыни кода. Компилирую через
gcc code.c -o code. "-O2" не меняет ситуацию. Смотрю через objdump -d. Что я не так делаю?

>>969991
>Смотрю через objdump -d.
Поэтому люди и пользуются продвинутыми средствами типа IDA, которые пропускают лишний код и показывают сразу точку входа, минуя библиотечные функции.

>>970237
>IDA Starter Licenses start at 589 USD or 529 EUR. IDA Professional Licenses start at 1129 USD / 1019 EUR.

>>970321
IDA Pro 6.8.torrent

>>970321
Демка есть. Для "посмотреть" подходит.

>>969991
gcc -S есть. Простыни остаются, но читать легче.

[C/C++]
Возможно ли даемону в фоне с правами 0й сессии отслеживать такие штуки как
-открытие процесса(OpenProcess)
-чтение(ReadProcessMemory)
-запись(WriteProcessMemory)
-выделение памяти (VirtualMemoryAlloc)
-создание потока выполнения (CreateRemoteThread)
И прочие штуки. Должны же как-то работать антивирусные и античит системы, информации в сети мало.
Читал, например, что VAC использует динамически загружаемые с их сервера тесты для памяти и на основе статистик принимают решения.

>>970803
Когда придёт прошаренный человек, он тебе разъяснит. А у меня такие мысли.
>с правами 0й сессии
Что это означает? Из третьего кольца? Если из нулевого, то всё понятно. Значит юзерспейс. Да, можно. И без даемона (просто не знаю, как по другому). Подгружаешь свою dll во все процессы (с помощью реестра, загуглишь) и ставишь переходы на интересующие тебя вещи. Учитывай, что многие защиты не любят, когда на системных функциях стоит jmp в самом начале, добавь мусорных команд.
>Должны же как-то работать антивирусные
Они работают на нулевом кольце.
>и античит системы
А у этих такие же возможности, как и у тебя, если в тихую не устанавливают драйвер.
>Читал, например, что VAC использует динамически загружаемые с их сервера тесты для памяти и на основе статистик принимают решения.
Тоже читал, что VAC ищет читы по сигнатурам. Изменил опции компиляции - изменилась сигнатура. Учитывая, что существует столько читов - это очень ненадёжная система.

Допустим есть веб-приложение, которое обменивается информацией с запущеным сервисом. Как вклиниться и послушать, о чем они обмениваются?

>>970908
>Как вклиниться и послушать, о чем они обмениваются?
Очевидный Wireshark очевиден.

Аноны, где достать последнюю ИДУ$можно не самую последнюю, интересует только поддержка плагинов на питоне$ для mac os? Все что удалось найти - какой-то обрезок, где нет половины функционала(есть поддержка idc, но нет поддержки плагинов на питоне)

>>970917
Но вайршарк слушает то, что проходит через сетевую карту. А у меня веб приложение уже запущено, я туда уже зашел, и теперь оно взаимодействует с сервисом напрямую локально.

>>971115
Ты поехавший?
Алсо в этой вашей балмерне есть свои замуты с WinPcap и loopback

>>971117
>Ты поехавший?
Что не так? Все лаунчеры ммо, которые запускаются с сайта, так работают. Или у тебя другие сведения? Изложи их тогда. тогда.
>Алсо в этой вашей балмерне есть свои замуты с WinPcap и loopback
Ничего об этом не слышал.

>>971119
С каким сервисом он работает? С апачем? Я скачал игру сиськи письки онлайн от мейлру и они мне апач поставили?

>>971126
Какой апач, ты что несёшь? Сервисом (daemon), а не сервером.
Во всех игрушках это работает так: у тебя есть игра, клиент которой запускается через обычный экзешник; авторизируешься на сайте -> сервер сайта в бекенде выдаёт шифрованный ключ, который передаётся в сервис, который постоянно его мониторит -> если ключ правильный, сервис запускает экзешник клиента с параметрами, вроде этого ключа. Я хочу прослушать, чем сервис на пекарне обменивается с веб приложением, и потом с самым клиентом.

>>971135
Смотри, либо ты нормальным человеческим языком описываешь все части этой системы и все протоколы, по которым они взаимодействуют, либо ты официально признаешься поехавшим, у которого демон мониторит шифрованные ключи.

>>971146
Ты же ставишь их нативное расширение. Через него можно хоть мать выебать.

>>971149
То есть от того, что я пропустил по незнанию аддон в списке сайт -> сервис -> клиент, я и стал поехавшим в твоих глазах, ясно.

Мой вопрос остается в силе, каким образом я должен влезть между сайтом (аддоном) и сервисом, чтобы прослушать их обмен? И если такой вариант тебе не нравится, то вариант номер два - какие образом прослушать, с какими конкретно параметрами запускается клиентский экзешник?

>>971146
>каким образом кнопка на сайте запускает экзешник клиента
Быстрое гугление выдало такие ссылки:
https://toster.ru/q/89523
https://toster.ru/q/3704
Это так же, как магнет-ссылки и прочие приложения, которые можно запустить из браузера.
>>971159
И будь спокойнее.
>каким образом я должен влезть между сайтом (аддоном) и сервисом
MIMT-прокси.

>>971166
>MIMT-прокси
Спасибо, ушел гуглить.

>>971169
Простейший вариант - Fiddler, хотя сам пишу велосипеды под свои нужды: чистый C + libevent + OpenSSL и свой доверенный корневой сертификат.

>>971175
Ты уверен что у них в клиенте сертификат не вшит? Выдирать придётся.

>>971141
Внезапно на винде удобнее. Но если хочешь стать годным специалистом, без погружения в ядро линукса ты не обойдешься, и это погружение даст тебе много знаний и скиллов.

>>971166
> MIMT
> Man in Middle The

>>971141
Да.

Пытаюсь разобраться с прошивкой ARM микроконтроллера. Отладка в IDA через JTAG работает, все вроде бы хорошо. Но проблема в том что трудно разобраться с регистрами периферии. И в документации на микроконтроллер не указаны абсолютные адреса регистров, а их смещения относительно разных базовых адресов.
Можно ли в IDA настроить нормальное отображение регистров периферии? Мне бы для начала разобраться с тем как там настроена периферия.

>>971182
Делаешь структуру для каждого периферийного устройства, скриптом или руками втыкаешь эту структуру по соответствующему адресу.

>>971178
Их сертификат генерируется, когда в опциях разрешишь перехват SSL трафика. При этом создаётся новый сертификат для каждого сайта (валидный год или даже больше) и он устанавливается в систему. Вот за последнее свойство и пишу сам наипростейший mitm-прокси, который не захламляет систему левыми сертификатами, а генерирует их налету и не сохраняет никуда.
>>971180
Простите, опечатался.

>>971191
>Их сертификат генерируется, когда в опциях разрешишь перехват SSL трафика.
Тебе за софтину, которую ломают. Она может хуй класть на общесистемное хранилище.

>>971191
Ещё раз. Клиент может:
1) Использовать свой сертификат, а не скачивать его по http
2) Скачивать его по http и проверять, например, что он выдан верисигном, а не вася-пупкин-ца
Сейчас 2017 год, даже хром что-то подобное делает. А тут речь идет о нативном клиенте который может извращаться с ссл как угодно.

>>971200
>>971201
Ну ты чего? Один из вариантов ему предложил. Пусть смотрит, как работает софт. Очень часто он использует движок IE или использует корневые сертификаты системы. Где-то же он берёт сертификат, которому доверяет.
>Использовать свой сертификат
Заменим на свой.
>Скачивать его по http и проверять, например, что он выдан верисигном
Создать свой самоподписанный сертификат со всеми полями верисигна и установить его в систему.
>даже хром что-то подобное делает
Он использует хранилище сертификатов Windows. Mitm работал на нём, сам лично проверял, все сайты, даже гугловские.
>А тут речь идет о нативном клиенте который может извращаться с ссл как угодно.
Особенно замечательно, когда есть две dll: libeay32.dll и ssleay32.dll, достаточно две функции изменить, чтобы писали весь трафик в лог.
Но всё, само собой, зависит от приложения. Оно может параноидально проверять всё, быть зашифрованным, закриптованным, использовать VM и прочее. А может и ничего из перечисленного.
>>971204
Запусти от администратора.

>>971205
http://www.chromium.org/Home/chromium-security/security-faq#TOC-How-does-key-pinning-interact-with-local-proxies-and-filters-
У хрома там забавные правила, да. Но он защищается от недобросовестных ЦА, так что в этом плане все ок.

>>971206
Знакомый параметр /username, как от Sony, одна из их игр FreeRealms, которую безуспешно пытался запустить ввиду отсутствия нужных файлов. Ты немного тупишь, тебе правильно написали. Запусти Wireshark и посмотри что и куда передаётся. А чтобы не было левого трафика, закрой все приложения, которые используют сеть. Там (возможно) должен запускаться загрузчик, который общается с сервером по UDP. Ты где пароль вводишь: на сайте или в клиенте?

Так и есть >>971206 Смог запустить клиент без сайта, ебаться с сертификатами точно теперь не буду.
Проблема только в том, что нужно знать шифрованный логин и пароль, в других локализациях этого не требовалось. Да и местный защитник Фрост тоже стартует.

>>971218
Вот видишь, а ты все демоны, апач, веб-приложения. А оказалось что параметры через командную строку передаются. Алсо если ты запустишь без их античит поеботы ты можешь попасть в чорный список и твоего перса посадят на бутылку. А можешь и не попасть.

>>971222
У меня нет перса, я не играю.

Разлогинился на сайте, заблокировал расширение в браузере, отключил сервис - приложение отказывается запускаться, неверный пароль. Блядь.

>>971228
Может там не шифрованные логин-пароль, а одноразовые или сессионные логин-пароль?

>>971229
This. Логин остался без изменений, а вот пароль сменился. Блядь, у этой проблемы решения нет.

>>971233
Почему? Можно через curl на их веб-сервак ебануть свой логин-пароль и получить сессионный ключ. Скорее всего.

>>971236
И в результате выйдет вебланчер, только свой)))00

>>971239
А в чем смысл изначально этого всего? Может тебе просто локализацию перенести если английский клиент взломан а ты делаешь русскую пираточку?

>>971248
>смысл
Сделать нормальный ланчер без привязки к сайту, как это все и происходит на других локализациях.

>>971253
Но это лаунчер для онлайн игры и если они хотят сессионный ключ то тебе придется его получать. Другой вопрос - хотят ли они его?

Как легче (!) всего искать поинтеры на значения?

>>971306
Хардварный брейпоинт на чтение/запись.

>>971308
Под "легче" я имел в виду не эффективнее, а легче для ньюфага.

>>970368
> 2k17
> воровать софт

>>971327
Кстати, насчет CE. Часто не могу найти текстовое значение, хотя на экране в дрочильне четко видно текст а значит он обязан где-то храниться. С чем может быть связано?

>>971340
ASCII/Unicode?

>>971344
Хуй знает, но на экране никаких специальных символов, простой текст латиницей. Не должно же быть разницы, разве нет?

>>971349
Ну нихуя себе нет! ASCII или UTF-8 для латиницы - один байт на символ, UTF-16 (UCS-16) - два байта на символ, UTF-32 (UCS-32) - четыре байта на символ. А еще могут быть шифрованные строки.

>>971360
>UTF-16 (UCS-16) UTF-32 (UCS-32)
Да это никто и не использует в здравом уме.
>ASCII или UTF-8
Разница в поиске между этими кодировками есть?

>>971317
В любом другом случае - да, но не с идой. Такому охуевшему долбоебу как ильфак могу только хуй под язык положить

>>971363
> Да это никто и не использует в здравом уме.
Вся Windows API использует UTF-16 (прошлые версии - UCS-16). В крестах wstring использует UTF-16. В ресурсах PE-файлов строки хранятся как UTF-16. В андроиде нативные либы используют UTF-32. Я видел и виндовые приложения, в которых внутри UTF-32, им так проще - не нужно обрабатывать суррогатные пары.

> Разница в поиске между этими кодировками есть?
Для латиницы нет.

>>971373
Ну окей, тогда просто ставить галку Unicode в следующий раз, если ничего не находит?

>>971377
Да. Но если CE - это читенжин, то я им ни разу не пользовался, и не знаю, как там принято искать текст.

SUP
Не понимаю, что происходит после написания кода, но перед получением исполняемого файла. Компилю все клангом или gcc, и всегда получаю кучу левого кода в файл. Где почитать об этом?

>>971955
preprocesses code>assembly>binary
Добавляется куча ссылок на либы, бойлерплейт для ядра.

>>972023
Ну да, а вот как это конкретно происходит? Не знаю как прогуглить

>>972136
Возьми gcc, погугли ключик "-save-temps". Ну и про ключик -v тоже не забывай.

>>972136
Ещё погугли "Understanding and Writing Compilers" (Richard Bornat).

https://challenges.re/53/
Мне кажется я решил, но не знаю правильно или нет. Проверьте, пожалуйста.
На винде строки хранятся в DATA-сегменте, а на линуксе в .rodata. В DATA можно писать, а в .rodata нельзя. Поэтому на винде все работает, а на линуксе нет.

>>972182
> Поэтому на винде все работает
Какой-то странный челлендж. Вопрос уровня i += i++ + ++i. Особенности компилятора, которые могут изменяться от версии к версии, зачем их знать? В гцц строковые литералы ридонли по умолчанию, но у кого-то в системе зачем-нибудь может быть -fwritable-strings в CFLAGS, и тогда все будет работать. То же и с MSVC. По умолчанию строки доступны для записи (хуй знает насчет новых версий), но есть /GF, тогда будет как в гцц. А ответ простой: писать в строковый литерал - это undefined behavior, и все, что нужно про это знать - так делать нельзя.

>>972193
Мега спасибо за развернутое объяснение

Все играли?
Или в Human Machine Resources или в tis100?

На нуль есть целая доска для байтоебов
/bytesex/

>>972759
Шенжен - 11/10, тис - говно/10, hrm - 5/10.

>>972760
> /bytesex/
Так пиздуй, мы не расстроимся.

>>960640 (OP)
Изучаю системные вызовы линукса путём чтения менпейджей и экспериментов и не могу разобраться со вторым сискаллом, а именно с функцией open. А именно я не могу понять как ставятся флаги. Вот у меня получается создавать файл, но в нём всё запрещено. Я экспериментами нашёл что седьмой справа бит отвечает за создание файла, но как сделать так чтобы он был разрешён к читанию и писанию и выполнению я незнаю. Как это сделать?

>>973119
Как это ты читаешь маны, но man open не читал и флагов там не увидел, и грепнуть/printf-нуть флаги или заинклудить соответствующий .h ты не можешь?

>>973119
Смотри, у тебя есть аргумент flags. Каждый флаг, типа O_RDONLY расценивай как двоичное число типа 0000001000000. Разные флаги имеют единички в разных местах. Чтобы совместить два флага, типа O_RDWR и O_CLOEXEC, надо включить еденички с обоих позиций, то есть на позициях обоих флагов. Чтобы проставить единички с включением обоих флагов пиши так:
open(file, O_RDWR | O_CLOEXEC);
Побитовое ИЛИ проставит единички, как сумму всех флагов. Удачи в понимании этого сообщения

>>973236
>>973232
>Расценивай
А оно разве не таким и есть?

>>973250
Так и есть. Я к тому, что не думай о них как о "32" или "16"

>>973250
> А оно разве не таким и есть?
Существуют флаги с дублирующимися битами. Если сложить 0x11 и 0x09 - получится не то, что ожидается от флагов, а вот | отработает как положено.

Как найти поинтеры, если повесить брейкдаун в дебаггере невозможно - вылетает онлайн-игрушка? Нет, я не хочу ничего редактировать, я просто хочу считывать значения.

>>973401
>брейкдаун
Наверное, брейкпойнт.
>вылетает онлайн-игрушка
Какой дебаггер, как проявляется вылет. Плагины не помогают?
>я не хочу ничего редактировать, я просто хочу считывать значения
Можно через ReadProcessMemory попробовать, если знаешь точные адреса или можешь их найти.

>>973401
Вангую использует olly для поиска указателей в играх , используй CE лучше для этого,(он не останавливает процесс что в итоге не дропает процесс.

>>973628
С этого момента поподробней как при помощи readpm найти указатель

>>973628
>Наверное, брейкпойнт.
Да, сорян.
>Какой дебаггер, как проявляется вылет. Плагины не помогают?
CE, выбираю пункт меню с брейкпоинтом на любой найденный адрес со значением, и игрушка моментально вылетает без ошибок. Каких heartbeat в игрушке нет, античит защита отключена разрабами.
>Можно через ReadProcessMemory попробовать, если знаешь точные адреса или можешь их найти.
Можно поподробнее? Не знаю адресов, как раз их и пытаюсь найти, ради этого и затевал.

>>973727
>Вангую использует olly для поиска указателей в играх , используй CE
А я и использую CE.

>>973730
Запутанно ты пишешь. Если нет никакой защиты в приложении, тогда ничего и не должно срабатывать. Не знаю, как ведёт себя CE, он как отладчик присоединяется к процессу? Программа своим поведением на точку останова напоминает реакцию на исключение в каком-нибудь VEH, когда
else
{
    ExitProcess(...);
}
Попробуй OllyDbg для разнообразия и поставь точку останова на ExitProcess, посмотри, кто её вызывает.
>Не знаю адресов, как раз их и пытаюсь найти
Что ты ищешь-то? Что за игра, дай немного информации, что уже сделал, что нужно сделать.

>>973740
>как ведёт себя CE, он как отладчик присоединяется к процессу?
Ах если бы я знал. По внешним признакам НИЧЕГО не происходит, просто вылетает игрушка.
>Попробуй OllyDbg для разнообразия и поставь точку останова на ExitProcess, посмотри, кто её вызывает.
Попробую сегодня, как доберусь домой.
>Что ты ищешь-то? Что за игра, дай немного информации, что уже сделал, что нужно сделать.
Да ничего ещё не сделал. Есть группа из нескольких игроков, я хочу считывать их имена в string, а потом уже проводить с ними операции, которые не касаются этого треда. Ищу string, нахожу имя на экране, при перезапуске игрушки имени по тому адресу уже нет, очевидно. Поэтому мне и нужны указатели на эти надписи. Правой кнопкой мыши по найденному адресу и выбираю пункт меню для поиска поинтеров, игрушка моментально вылетает.

>>973756
>при перезапуске игрушки имени по тому адресу уже нет, очевидно
Скорее всего, игра написана на C++. Нужно искать, где хранятся (создаются) имена, а по ним выходить по цепочке на глобальный класс. А когда найдёшь, уже с помощью ReadProcessMemory в обратном (в данном случае, прямом) направлении пройдёшь. Ну это в теории. Надо реверсить игру, искать, где, кто и что создаёт. Сам бы так делал. Возможно, можно проще.

>>973765
>Нужно искать, где хранятся (создаются) имена, а по ним выходить по цепочке на глобальный класс. А когда найдёшь
Алло, это я и пытаюсь делать с первого поста.

>>973768
>Алло
Ну и аллёкай дальше, раз весь пост осилить не смог.

>>973780
Твои советы слишком абстрактные для ньюфага. Ты можешь сказать, что конкретно мне нужно делать для того, чтобы найти корневые адреса и офсеты?

>>973756
> Ищу string, нахожу имя на экране, при перезапуске игрушки имени по тому адресу уже нет, очевидно.
В CheatEngine есть охуенный туториал, где на примерах показывается как искать статические адреса указателей.
https://youtu.be/5us6a9b2zDk

Вообще советую весь туториал самому прорешать.

>>960640 (OP)

ПРОГРАММИРУЕШЬ НА АССЕМБЛЕРЕ
@
НЕ МОЖЕШЬ РЕШИТЬ ЧЕМ ПОЖЕРТВОВАТЬ
@
СЭКОНОМИТЬ ОПЕРАТИВНУЮ ПАМЯТЬ, НО УМЕНЬШИТЬ СКОРОСТЬ ПРОГРАММЫ
@
ИЛИ УВЕЛИЧИТЬ СКОРОСТЬ, НО ЗАНЯТЬ ЕЩЁ ПАМЯТИ
@
ТВОЯ ПРОГРАММА ВЕСИТ 5 КБ

>>973961
>ТВОЯ ПРОГРАММА ВЕСИТ 5 КБ
@
ТЫ ДОБАВЛЯЕШЬ ИКОНКУ
@
ДЛЯ ОТОБРАЖЕНИЯ В ПРОВОДНИКЕ ШИНДОФС
@
ПРОГРАММА НАЧИНАЕТ ВЕСИТЬ 30КБ
@
ПИШЕШЬ КОД НА АСМЕ ДЛЯ СЖАТИЯ ИКОНОК

https://habrahabr.ru/post/247425/

>>974006
В ФОРМАТЕ PNG ПРИ ПОМОЩИ FASM
@
НАДЕЯЛСЯ УВИДЕТЬ РЕАЛИЗАЦИЮ DEFLATE НА МАКРОЯЗЫКА FASM
@
file 'icon16.png'
@
ОПЯТЬ ХЕЛЛОВОРЛД ДЛЯ НУБОВ

>>973961
Производительностью только дауны жертвуют.
>>974006
Иконки не нужны.

>>973940
Перетолстил.

дайте мне, пожалуйста, аналог printf() из си на ассемблере для линукса в архитектуре x86-64. Желательно в коде фасма. А то у меня какое-то говно получается.

>>974153
п.с.: первые два значения в инишники вообще по барабану, что бы не написал окно всегда 800*600

>>960640 (OP)
>Список книг по RE:
в список однозначно стоит добавить раз уж блог его указали https://beginners.re/

>>970473
демка - это ты про фри версию 5 давности?

>>974153
>Хочется сделать окно побольше
Там ниже переписываются значения разрешения экрана. По адресам 00404413 и 00404423. nop'ами попробуй их заменить.
Как мне кажется, в этом месте баг. Вероятно, хотели значения присваивать до открытия файла, а то какой смысл после открытия и считывания переписывать.

>>974220
> А вот задники нет.
Как я и думал, это не глюк, как полагал >>974204-кун, а комментирование недописанного функционала.

>>974237
или отключенного за ненадобностью. Типа не на чем запустить такое. хехе. Игра то старая.
в сибирии 2 так же, только там разрешение жестко забито в ехешнике.
Ндо андроид версию ковырнуть будет. Где то да должно быть масштабирование текстур.

>>974120
Внезапно printf. Посмотри в примерах к фасму, там есть хелловорлд для линуксов, в том числе и с libc.

>>974277
да, а фасм научился наконец то дебаг инфу в эксешники пихать? или все по старому, пилишь отдельно скомпиленое, отдельно листинг ?

>>960640 (OP)
только что экспериментальным путём узнал что syscall (по крайней мере тот, который write) в линуксе изменяет значение r11. Какие ещё регистры он изменяет?

не подскажите что нибудь типа GAP ( https://goo.gl/SuWQuG ), раньше при разборе алгоритмов, на ней частенько вычисления гонял, была отличная оболочка для нее GGAP, которая увы не развивается и не поддерживает актуальные версии.
Из того, что мне оч нравилось в ней, что просчитаные данные, хранятся как есть пока функцию не перезапустишь, и можно один раз обсчитав все, потом исопльзовать снова и снова.

удобно было что пишшеь функцию, и сразу видишь результат (так же с уже просчитаннми данными все можно сохранить)

нужно что нибудь подобное, и не оч громоздкое/

Пробовал LUA использовать для этого, не т само собой. Матлаб что ли? есть у кого идеи.

или пытаться вспомнить плюсы/QT и доводить https://sourceforge.net/projects/ggap/ до работы с актуальной версией?

>>974370
Научился для COFF вроде как. Но отдельной утилитой. Плюс на fasmg можно сделать любой формат отладочной инфы, но надо понимать, что fasmg - это тормоза и костыли.

Есть ли какие-нибудь opensource C-библиотеки для работы с pe файлами? Без их загрузки в память, само собой. А то понадобилось мне восстановить импорт в дампе программы, такого велосипедостроения понаписал. А готового найти не смог.

>>960640 (OP)
Хочу на ассемблере сделать консольную игру с аскии-графикой. Но как это сделать? С выводом разноцветных символов я уже разобрался. Как сделать так чтобы либо каждый раз символы стирались и заново писались либо чтобы курсор переходил на сколько-то строк и символов вверх и заново писал символы? Это чтобы добиться изменения изображения.
Может надо использовать сискалл, который переводит курсор в файле? Ведь у консольки есть свой файловый дескриптор

>>975759
ОС?

>>975831
linux

>>975867
Самое просто - линковаться с ncurses и не заморачиваться деталями.

>>960640 (OP)
Привет, программач.
Пишу на NASM и сижу на Debian. Мне надо считать любой возможный сектор ЖД. С сделал INT 13h, на что получил закономерный Segmentation Fault. Попытался в гугл, а гугл говорит, что иди-ка ты нахуй с прерываниями к BIOS'у из под пинуса и пиздуй в DOS. Собственно вопрос. Можно ли мне, дегенерату, обойтись без DOS'а получить результат из Debian'а? Если нет, то помоги с материалом для дальнейшей работы. Что ставить, как сделать бочку работать и поставить свой кал NASM на на него?

В общий написал. Сюда на всякий тоже

>>976377
> получить результат из Debian
Если тебе именно прочитать нужно, то лучше возьми Си, open(/dev/sdX) (где X - нужный тебе накопитель), seek, read, close (в принципе на асме то же самое, можно сисколлами, можно с libc линковаться). Если это какая-то лаба, ставь DOSBox.

>>975935
Мне не надо самое простое. Я из тех кто любит изобретать велосипеды.

>>976377
> С сделал INT 13h, на что получил закономерный Segmentation Fault.
А вот нехуй в защищенном режиме прерывания теребить.
> гугл говорит, что иди-ка ты нахуй с прерываниями к BIOS'у из под пинуса
Не только из под пинуса.
> Можно ли мне, дегенерату, обойтись без DOS'а получить результат из Debian'а?
Очевидная виртуалка очевидна.
Либо пили свой загрузчик, пиши его на загрузочный носитель и в нем еби свой жд хоть через порты. Только сначала лучше убедись, что на канале есть ответ от жд.

С чего начать изучение реверсинга? инб4 с ассемблера, и я чуток его знаю

Аноны, помогите. Попался в руки исходный код ядра одного китайского андроид-девайса. Одна треть фалов в нем оказалась бинарными. Сделал hexdump, в первых 256 байт хранятся символы E-SaFeNet LOCK и пустые байты. Чем эту хуергу реверсить?

Забыл еще добавить, что MIME-тип файлов - application/octet-stream, но я знаю что должен быть text/ascii

>>976521
>символы E-SaFeNet LOCK
В гугл заглядывал? Там https://www.linuxquestions.org/questions/programming-9/how-to-decrypt-e-safenet-lock-source-files-4175455615/ мне предложили сходить по этой ссылке https://sentinel.gemalto.com/software-monetization/software-protection/
А если у тебя исходники на руках, посмотри в них, как с бинарными файлами работать. И что значит, пустые файлы? Нулями заполненные? Нули явно не разреверсишь.
>>976498
Берёшь любую программу и реверсишь. Если что-то не понятно, гуглишь, учишь и продолжаешь реверсить. Есть crackme разной степени сложности. Есть где-то руководство на русском языке по изучению OllyDbg. Есть "Образ мышления - дизассемблер Ida" для изучения, собственно, Ida.

>>976527
Душевное.
>А если у тебя исходники на руках, посмотри в них, как с бинарными файлами работать
Это должны быть тексты на Си, при компиляции таких файлов компилятор выдает ошибку и сборка не идет.
Первые 256 байтов - литералы E-SafeNet LOCK и нулевые байты. После первого 256байт-сектора начинается шифрокаша.

>>976535
Вот четвёртой ссылкой гугл выдал такое https://github.com/c3c/E-Safenet/blob/master/esafenet.py
Ты скинул бы куда-нибудь эти исходники. А то гадать приходится, что там у тебя уже есть, а чего нет, что в файлах, а что в исходниках.

>>976537
Да щас ссылку дам, откуда я сам брал - https://yadi.sk/d/mcHadISL3GckHi

>>976527
>Если что-то не понятно, гуглишь, учишь и продолжаешь реверсить.
А тут спрашивать можно?

>>976541
Для этого тред и создавал, сам нуб.
ОП

>>976537
Доки прочитал, и еще в нете навернул. И попробовал атаки по паттернам и известному тексту. Известный текст под рукой оказался, но не подходил из-за того, что файлы неодинаковые и это были сорцы с другого ведра. По паттернам не выдает адекватные ключи и не расшифровывает. А что с атакой по шифротексту - выдается текст, который нужно очень долго править. Хз что делать.

>>976545
Тогда мой первый вопрос. Открываю exe в олли и ищу в string references строку, которую программа сохраняет в файл, а именно AuthnToken. Но в string references по какой-то причине этой строки нет. Что делать дальше? Я даже не знаю, как такую проблему гуглить.

>>976694
Может файл пожат, может олька ссылку не распознала на строку. Ищи в памяти по Alt+M, ставь хардварный брейкпоинт на чтение, жди.

>>976695
Я перед открытием проверил в PEiD не запакована ли программа, и там никаких подводных не оказалось. Пошёл пробовать твой вариант.

>>976695
А на что ставить брейкпоинт?

>>976695
Нашёл стринг! Только не в экзешнике основной программы, а там же в либах. Можно эту строчку как-то отредактировать?

>>976698
Hiew или любой двоичный редактор.

Нихуя вы тут ебанутые.

>>976703
А также сама олька. Или она не сохраняет релоки при редактировании длл? (никогда не пробовал)

Для чего точку входа в сишный шеллкод, расположенную в самом начале ШК-да, понадобилось делать невстраиваемой?

https://pastebin.com/5FfBvp95

Анон, помоги получить первые 8 секторов ЖД.
sector выходит с нулями и AH тоже равен нулю. Что я делаю не так?
https://pastebin.com/2FhtHes0

>>976868
>Или она не сохраняет релоки при редактировании длл?
А кто-то их вообще сохраняет? Кроме как при редактировании ресурсов увеличивать строки никто не умеет, кмк.

>>976968
Ну, во-первых, изменялку строк в .exe только ленивый не писал. Это совсем просто для длл и чуть посложнее (требует предварительного анализа в IDA, хотя бы автоматического) для exe без релоков.
Во-вторых, я думал, может быть, олька при сохранении дллки дропает релоки. Но если еще подумать, то ей незачем это делать.

>>974420
>подскажите что нибудь типа GAP, раньше при разборе алгоритмов, на ней частенько вычисления гонял

А что ты там считал? Мне интересно, т.к. полгода где-то назад пару дней с ней игрался. Но я нуб в алгебре. И и не смог оценить.

Можно ли с помощью нее научиться Теории Галуа за короткий срок? Или она для чего-то другого?

Еще есть Magma, но там анальная лицензия. На рутрекере вроде есть пара ломанных версий. Но я не запускал.

>InstallAnywhere
>Anywhere
>эта цена
>Java-машина не найдена
>2017
До чего мы дожили.

>>977323
Это не дожили, этой херне много лет уже, если я правильно помню.

>>977275
Открой экзешник в хекс-редакторе, найди Hello, да поменяй. Если строчка короче, то проблем нет.

>>977262
Сам отвечу на вопрос для архивача и гугла. Можно распаковать в два этапа:
1. upx.exe -d -o temp.exe ..\FooBar_install.exe
2. unzip.exe temp.exe -d .\unzip\

Unzip нужно взять отсюда (7-zip не подходит):
ftp://ftp.info-zip.org/pub/infozip/win32/

>>977330
Я так и делал. А что делать если длиннее?

>>977361
Выше анон писал >>977056 о некоторых волшебных программах, но ссылки не дал.

>>977377
Я ссылки не дал, потому что это делается скриптом строк за 20 от силы. Длл и exe с релоками:
1) Идем по релокам, смотрим, не указывают ли адреса, к которым применяются поправки, на строку (без дизасма, тупо взяли адрес и сравнили). Собираем такие адреса. В качестве парсера можно взять pefile для питона.
2) Кладем куда-нибудь новую строку: в хвост существующей секции (если есть место), в заголовок, можно новую секцию создать и т. д.
3) Патчим адреса, собранные на шаге 1 новым адресом строки.
Для exe без релоков:
1) Натравливаем на бинарник IDA, а когда анализ завершится, скриптом выдираем все ссылки на строку (idc.DfirstB/idc.DnextB).
2-3) Аналогично.
Есть случаи, когда все это не работает (хитрые ссылки, ида не распознала весь код, не ссылки из секции данных или слажала еще как-то и т. д.), но чаще всего этого более чем достаточно.

>>977453
>Я ссылки не дал, потому что это делается скриптом строк за 20 от силы.
Ага. И где готовый для тех, кто вообще не в теме, а просто проходил мимо и решил заменить пару строк в бинарнике?

>>977458
> кто вообще не в теме, а просто проходил мимо
Скрипткиддисы нинужны. Но в виде исключения вот тебе самый простой случай для 32-битных бинарников с релоками. И это только патч ссылок, саму строку легко и вручную в хекс-редакторе воткнуть:
https://gist.github.com/anonymous/8deb02d068182119b344d30617c64030

>>977499
>Скрипткиддисы нинужны.
Но ведь я именно он, сижу, венду ковыряю. Все мы когда-то были начинающими.

>>977524
Ну так ты ведь мог и сам написать такое же по описанию на любом известном тебе языке. И написав сам, ты бы приобрел знания и навыки, которые иногда пригождаются. Например, я писал подобное, когда нужно было массово перемещать глобальные инстансы классов из одной секции длл в другую - хуй бы я готовый скрипт под это нашел.

Есть экзешник, в котором где-то каждый раз формируется AES ключ и мне нужно его найти. Как это делается в общих чертах?

>>977586
S-box-ы ищи сигнатурно. Сам или каким-нибудь PEiD+kanal (что сейчас вместо PEiD модно, напомните?).

>>977590
>S-box-ы ищи сигнатурно
Эээ... А можно ли так, чтобы я мог загуглить и найти какие-то туторталы или аналогичные кейсы?

Со своей стороны я глянул туторталы по ollydbg на ютубах, и ВО ВСЕХ они ищут текст из окошка в стиле "Ваш пароль неверный", подогрел с этого. У меня нет никаких окошек, я просто знаю, что где-то в коде есть мой AES ключ.

>>977591
Ну сходи в вики, прочитай описание алгоритма для начала, потом почитай https://en.wikipedia.org/wiki/Rijndael_key_schedule. Потом ищи S-box-ы, потом ищи, кто на них ссылается, т.е., где развертывается ключ. А заодно почитай хотя бы что-нибудь обзорное про поля Галуа. Можешь вот этого дядьку глянуть: https://www.youtube.com/playlist?list=PL6N5qY2nvvJE8X75VkXglSrVhLv1tVcfy (лекции 7-8 или даже весь плейлист целиком). Алсо, по лекциям есть книжка.
> туториалы
Хуй знает. Тут чисто логически понятно, что нужно делать.
> загуглить
Я тебе уже дал кейворд: peid+kanal, ты поискал сигнатуры?
> формируется AES ключ
И вообще, ты весьма расплывчато расписал задачу. Может, тебе вообще не AES-ключ, а ключ для AES нужен? Какие-нибудь рандомные байты, которые используются в качестве входа для KDF?

>>977592
>Ну сходи в вики, прочитай
Почитаю и посмотрю прямо сейчас.
>Хуй знает. Тут чисто логически понятно, что нужно делать.
Ну я вообще ничего не знаю про реверс, я просто пишу на разных языках всякую фигню как хобби.
>Я тебе уже дал кейворд: peid+kanal, ты поискал сигнатуры?
Я даже не знаю, что такое сигнатуры, лол. Вот про PEiD знаю, это тулза для просмотра не упакован ли экзешник (у меня как раз упакован, кстати, но судя потому, что я нагуглил, это не важно в моем случае).
>И вообще, ты весьма расплывчато расписал задачу. Может, тебе вообще не AES-ключ, а ключ для AES нужен?
Нужен именно AES ключ. Смотри, программка обменивается с серверами какими-то своими ключами, потом на основе этих ключей внутри себя формирует ключ, которым потом шифрует свои данные с помощью AES ECB. И чтобы расшифровать данные мне и нужен этот ключ.
>Какие-нибудь рандомные байты, которые используются в качестве входа для KDF?
Тут без понятия вообще.

Задача для меня очень сложная, но я хотел бы разобраться с реверсом на основе этого практического примера. Проблема ещё в том, что экзешник 64битный и в ollydbg не открывается.

>>977593
> разобраться с реверсом на основе этого практического примера
Упаковщик, 64 бита, криптография (да не простая, а AES та же RSA гораздо понятнее для прогуливавших математику, сервер - все вместе это очень хуевый выбор для первой задачи.

> упакован, кстати, но судя потому, что я нагуглил, это не важно в моем случае
В IDA код смотреть гораздо проще, чем в отладчике. Упакованный бинарник смотреть в IDA бессмысленно. Поэтому как бы напрашивается задача "сначала распаковать, если возможно".

> ключ, которым потом шифрует свои данные с помощью AES ECB
Т.е., у программки есть реализация AES, или она использует CryptoAPI. Во втором случае все просто, в первом случае есть функция шифрования, и тебе ее надо найти - ей на вход придет блок данных и контекст с преобразованным ключом. Также есть функция, которая инициализирует контекст, ее тоже стоит найти, ей на вход придет исходный ключ. Функции эти, во-первых, более-менее рядом, а во-вторых, характерно выглядят (алгоритм гораздо проще найти в бинарнике, если ты уже реализовывал его сам).

> Я даже не знаю, что такое сигнатуры
Многие алгоритмы используют различные константы (например, у CRC32 будет полином) и массивы констант (табличка в табличной реализации CRC32 или S-box в том же Rijndael), могут быть какие-то общие для архитектуры куски кода. Все это позволяет определить алгоритм, называется сигнатурами. Ссылки на константы позволяют выйти на использующие их функции, но вручную все проверять заебешься, поэтому есть всякие скрипты и плагины, которые знают дохуя сигнатур, и показывают все, что найдется в указанном бинарнике.

>>977603
> ничего не нашел
Ну сам поищи по памяти. Таблицы в вики есть.

>>977607
Ох лол, начал смотреть видео из лекций, что ты сбросил, оказалось что это лекции и преподаватель из моего университета.

>>977608
>Ох лол, начал смотреть видео из лекций, что ты сбросил, оказалось что это лекции и преподаватель из моего университета.
Укачало с первых 10 сек видео.
Кто додумался это снимать ТАК. Там Филтифранк с смартфоном в качестве оператора?

Компилятор не принимает строку call calc_abs. Что надо изменить, чтобы всё работало?

.data
N equ 2
minuend db 10
carry db 0
deduction db 7
.code
sub_sign proc
mov al, deduction
sub minuend, al
jnc no_carry
neg minuend
jmp end_p
no_carry: jns no_sign
neg minuend
jmp end_p
no_sign: jno no_overflow
mov carry, 0ffh
call calc_abs
no_overflow:
end_p: ret
sub_sign endp

>>977818
> Компилятор не принимает строку call calc_abs.
> Что надо изменить, чтобы всё работало?
Написать такую функцию?

>>977608
> лекции и преподаватель из моего университета
Ты уверен, что учишься в Германии?

>>977264
чувак, она не для учебы. Она для работы. С группами кольцами и т.д. Это полный бесплатный, кросплатформенная херовен для объемных вычислений. Более грубый аналог Maple. один из кучи вариантов (на википедии есть)
а еще есть группа программ для численных вычислений , матлаб и прочыее прочее. всё оно для своих целей.
Но не для обучения. Грубо говоря навароченные калькуляторы.
В математике научиться чему то можно только многократно прорешивая руками. чем больше тем лучше. В мое время препод матрицы 5х5 в квадрат умел возводить без проблем. А так же на ходу считать для адекватных размерностей определеители и прочую херь.
Хочешь научиться - берешь задачи и решаешь решаешь решаешь. Заебные места с вычислениями конечно можно в любой из софтин (хоть тупо самому написать) реализовать, чтоб время не тратить. но надо идею и ход мыслей всегда понимать.

>>977361
по сути, смотришь чуть выше. ишешь где вызывается адрес начала строки. вконце где нибудт пишешь свое, и подменяешь в месте вызова адрес.

>>977458
для полных нулей, качай с трекеров exelab dvd, там видеокурс, или гугли Нарваха Рикардо. Введение в крэкинг с нуля
вообще, в шапке инфы предостаточно, достаточно вечерок посидеть, и такие банальные задачи проблемой не будут.

>>977938 Помоги, если можешь
.data
N equ 2
minuend db 10
carry db 0
deduction db 7
.code
sub_sign proc
mov al, deduction
sub minuend, al
jnc no_carry
calc_complement:
neg minuend
jmp end_p
no_carry: jns no_sign
neg minuend
jmp end_p
no_sign: jno no_overflow
mov carry, 0ffh
call calc_abs
no_overflow:
calc_abs proc
mov si, cx
dec si
test byte ptr [bx][si], 80h
jz @@exit
call calc_complement
@@exit: ret
end_p: ret
calc_abs endp

Допустим, я знаю, что программа обращается ко всем файлам в папке, и например расшифровует один из них "data.dat". Как поставить брейкпоинт на именно этот момент?

>>978210
>Как поставить брейкпоинт на именно этот момент?
CreateFileW с условием, что имя файла соответствует "data.dat".

>>960640 (OP)
>Для ковыряющих винду и софт под неё, сайты с описанием структур со смещениями и разными версиями оных:
Блин, они все ущербны.
Вот вижу я структуру, которая по смещению 0х30 содержит PFILE_OBJECT, а дальше что? Все эти сайты никак не помогают это найти. Это просто статические страницы.
Хочу написать нормальный сайт с возможностью поиска по списку смещений и их содержимому. То есть вводишь типа список используемых смещений "0x18 0x10 0x8", или например "0х10 POBJECT_TYPE 0х30 PFILE", а он тебе "Это возможно структура struct_name_1, struct_name_2". Кто со мной?

>>978286
> сайты
Но зачем? Дали им windbg, дали команду dt, что еще нужно?

>>978409
>Дали им windbg, дали команду dt, что еще нужно?
Как с помощью dt найти
>>978286
>То есть вводишь типа список используемых смещений "0x18 0x10 0x8", или например "0х10 POBJECT_TYPE 0х30 PFILE", а он тебе "Это возможно структура struct_name_1, struct_name_2".
???

>>978411
>???
То есть мне нужен поиск названия структуры по частично известному содержимому, а то и вовсе частично известному списку смещений.

>>978413
> по частично известному содержимому, а то и вовсе частично известному списку смещений
А, все, понял проблему. Тут windbg не поможет, да.

>>978413
Записать всё в базу данных. Только данные подготавливать муторно и долго.

>>978232
Можешь показать, как ставиться такой в олли?

>>978506
Ага. Записать, написать скрипты обработки, поиска и удобный интерфейс.
>Только данные подготавливать муторно и долго
Это как раз автоматизируется скриптами. Никто руками забивать все 9000 структур не будет.

>>978526
Ctrl+F2
Погугли, как юникод-строку в OllyDbg проверять. Вроде надо UNICODE добавить перед строкой.

Есть dll. Хочу в IDA (или в чем-то другом) узнать какие ключи реестра она может читать?

Мой план действий такой:
1. Гуглю список winapi функций, которые читают реестр. Кстати, их много там?
2. Ищу все их упоминания в dll.

Может эта задача как-то проще решается?

>>978566
>Кстати, их много там?
Штук 10.
>Ищу все их упоминания в dll.
А потом придётся выяснять, какие параметры у функций реестра, чтобы понять, какие ключи читаются. А параметры могут (и будут) формироваться динамически, и не факт, что удастся понять из кода без его запуска.
>Может эта задача как-то проще решается?
Что за библиотека то?

хочу вытащить из одной игрушки формулу расчета урона в зависимости от прокачки
это из вашей области?

>>978614
Морально готовься потратить на это пару месяцев.

>>978566
> узнать какие ключи реестра она может читать?
1) Пишется минимальный хост, берется ProcMon/RegMon от SysInternals. Так оно быстрее всего будет.
2) Можно хукнуть RegQueryValueExW/RegSetValueExW и подобные, анализировать адрес возврата, проверяя, из длл ли оно вызвано. Есть готовые утилиты для трейса API.

>>978550
Вот решение похожей задачи, но без сайта и вообще без каких-либо данных, только код
https://redplait.blogspot.fr/2011/02/partial-structs-matcher.html

>>978735
>8к строк xml-параши
нет, спасибо

>>978737
Ну а я попробую сделать. Заодно прочитаю 4700 страниц мануала Intel. Всегда мечтал.

>>978735
Вот если бы оно чтение/изменение отдельных битов в memory-mapped-регистрах документировало - была бы сказка, а референс по инструкциям нахуй не нужен. Посмотреть документацию по регистру в мануале я и сам могу.

>>978693
Блин, а ведь даже PDB дампить нечем. pdbdump пишет The specified module could not be found и вообще древний как говно мамонта, Dia2Dump выдаёт нечитаемую хуиту, pdbxtract гуевый и вообще проёбывает типы, pdbripper врлде норм, но тоже гуевый, pdbdump.py требует какой-то модуль winnt, который я не нагуглил. Везде хреново.

>>978775
Вбей на github в поиске cvdump.

>>978735
Эта фигня так и не стала показывать мне хинты. Если кто хочет потестить, то можете скачать отсюда билд:
https://github.com/kamino/FRIEND/tree/multios-port/bin

Но ни он, ни моя собственная версия так и не заработали. Плагин подгружается, в консоль пишет, гуи-настройки работают. А хинтов как не было, так и нет.

Разбираться в ее кишках лень.

Офигительная программа:
http://www.rohitab.com/apimonitor
Как софт от Руссиновича, только еще лучше.

>>978832
И как превратить её высер в человеческий вид?

>>978858
Опенсорс жи - сразу высирай то, что требуется.

>>978860
Осталось разобраться в 400+ кб сорцов и переписать половину, чтобы выдавала правильно. Делов на пару дней, ага, один из которых я буду учить плюсы, на которых ни строки не написал.

>>978904
Ах да, оно ещё и не компилится, о чём и написано в репозитории. Так что перед переписыванием его ещё дописать нужно. И это явно не на пять минут, иначе кто-нибудь эту задачу уже выполнил бы.

Нихуя не понимаю. Список нубских вопросов:
1. Когда ищешь значения в Cheat Engine и находишь адрес вида 00000000, то это адрес RAM, который занимает это знание, правильно?
2. Ollydbg в основном окне показывает дизасемблированный код экзешника не запуская его? То есть по сути это то же, что и открыть экзешник в текстовом редакторе и вручную перевести все в ассемблерный код?
3. Если всё же OllyDbg запускает экзешник, то как этот экзешник может работать правильно, когда в при настоящем запуске в него передаются команды вроде --command и подтягиваются библиотеки?
4. Если экзешник запускается, то зачем говорят, что нужно его распаковать перед дизасмом, если он в RAM находится в распакованном виде? Он же сам распаковывается при запуске, разве нет?
5. Если в запакованной программе есть ключ, то можно ли его вытащить без предварительной распаковки? Можно ли автоматизировать вытаскивание этого ключа при каждом запуске этой запакованной программы (написать небольшую утилиту)?
6. Ключ будет хранится в регистрах вроде EIX при выполнении какой-то строчки кода, правильно? А если программа запакована?

>>978912
Ты почитай какую-нибудь книжку для начинающих. Много вопросов отпадёт. "Техника отладки программ без исходных текстов", например.
1. Да. Если придираться к словам, то это виртуальный адрес, он может быть и не в RAM.
2. Ollydbg запускает его, но останавливает выполнение программы (в зависимости от настроек). Поэтому нет, это не одно и тоже.
3. Экзешник запускает операционная система, Ollydbg здесь выступает как Explorer, то есть создаёт процесс, но Ollydbg запускает его как отладчик (такие опции есть при создании процесса, также можно подключиться к уже запущенному процессу). Поэтому операционная система уведомляет отладчик о событиях, таких как загрузка/выгрузка dll, создание/удаление потока, исключения в программе и некоторые другие. Это не эмулятор, это приложение запускается и работает так же, как и любое другое. С некоторыми нюансами, про которые уже написал.
4. Программа запаковывается для защиты от статического анализа, т.е. без запуска приложения (в Ida, например). При динамическом, т.е. когда программа запускается в реальной среде, проще противостоять отладке, поэтому и пакуют. Не каждая программа упакована, соответственно, не каждую надо распаковывать. Не уверен на счёт правильности терминов, но общая идея, надеюсь, понятна.
5. Нет, нельзя. Упаковка - это, с некоторыми оговорками, архив. Ты не сможешь даже узнать, что в нём, пока не распакуешь. Да, можно, даже в отладчике можно скрипт написать, есть соответствующий плагин для Ollydbg.
6. Где угодно. Зависит от того, как программист написал это. Может в секции, может в коде, в регистрах он будет, если этот участок кода написан на ассемблере, иначе как решит компилятор. Но в регистр попасть он откуда-то должен.

>>978912
1. Не совсем правильно. Это виртуальный адрес. Виртуальные адреса создают для процесса иллюзию, что кроме него и куска системы в памяти больше ничего нет.
2. OllyDbg - отладчик, отладчики запускают код. Но OllyDbg останавливается еще в системных библиотеках, до того, как код из exe получит управление. И нет, если попросишь, олька тебе покажет дизасм хоть от аллаха, это не обязательно будет код из exe.
3. Это и есть настоящий запуск. Библиотеки подтягиваются, аргументы командной строки можно указать. Процесс точно так же работает и управляется системой, как и при запуске без отладчика (есть некоторые исключения, их используют для детекта отладчика).
4. Упакованный exe - это тебе не архив. Он запускается, выделяет память (или не выделяет), распаковывает или расшифровывает сам себя, копирует распакованные данные поверх себя (или не копирует). Поэтому чтобы увидеть настоящий дизасм, а не код упаковщика и мусор в виде упакованного кода, нужно распаковать или дождаться, пока само распакуется. Очевидно, что если ты хочешь начать отладку с самого первого байта распакованной программы, просто подождать не получится. Алсо, многие протекторы не держат код в рам целиком в распакованном виде, а распаковывают по требованию и/или выполняют код на вм.
5. Да можно, но чтобы узнать как там все устроено, тебе нужно видеть настоящий код.
6. Регистров EIX в x86 нет, в регистрах подолгу ничего не хранится, они нужны для выполнения операций над данными. Ключ будет лежать в памяти. А может и не будет.
Не перестаю проигрывать с треда. Скрипт-кидди и ньюфаг, полезший пилить читы.

>>978936
Ну епт. Всю ночь пост висел, а мы одновременно написали почти одно и то же.

>>978936
>>978939
Благодарю, может и правда стоит почитать книжки.

>>978939
>Скрипт-кидди и ньюфаг, полезший пилить читы.
И сажа-фаг, который пилит полезные советы и зачем-то при этом сагает тред.

>>978911
В общем нашёл нормальный проект, допиленное говно мамонта. Требует msdia120.dll, но не особо об этом распространяется, можно просто скачать её из интернета и кинуть рядом, так как с разными студиями ставится разная версия этой либы, у меня она была msdia80.dll, от чего программа и помирала с невнятным The specified module could not be found.
https://redplait.blogspot.fr/2010/09/patched-pdbdump.html

Есть ли какая-нибудь удобная программа для поиска бинарной строки во всех файлах внутри директории?

Что-нибудь такое:
findhex "F4CD5F10" c:\windows\system32\

Гуглится только софт для поиску внутри 1 файла. Не хочу начинать скрипты писать.

>>979380
grep (но он под винду обычно без -P собран, а -P желательно иметь, чтобы паттерн писать без боли), bgrep (но он не умеет в glob, просто обходит указанную директорию рекурсивно). Поэтому проще всего все же написать примерно 4 строки на питоне под себя. А так, я обычно просто фаром ищу, он умеет в хексы.

>>979380
Total Commander?

Косноязычный диктор и плохое качество видео, но самый подробный и правильный (с точки зрения обучения с нуля) гайд на дебаг с олли
https://www.youtube.com/playlist?list=PL59fvn5FIiQG0CrnALLgXzdpDTOk0hrz2

>>979522
Как мне кажется, это наихудший способ обучения. Лучше всего не видео, а текстовая статья. Гугл выдал мне это https://exelab.ru/f/index.php?action=vthread&forum=5&topic=14847
Можно погуглить автора этих статей Рикардо Нарваха (Ricardo Narvaja).

Подкину еще канал, на полноту какую-то парниша не претендует, но мне оче нравится
http://liveoverflow.com/
https://www.youtube.com/channel/UClcE-kVhqyiHCcjYwcpfj9w
У него там в видео по асму есть ссылки на какие-то сайты, сам я нихуя не понил, но вроде как игровые задачки по RE

>>979235
Блин, а оно не умеет в безымянный union, то есть структуру типа
typedef struct _QUAD {
union {
__int64 UseThisFieldToCopy;
double DoNotUseThisField;
};
} QUAD;
Превращает в
struct _QUAD {

// non-static data --------------------------------
/<thisrel this+0x0>/ /|0x8|/ __int64 UseThisFieldToCopy;
/<thisrel this+0x0>/ /|0x8|/ double DoNotUseThisField;
};
// <size 0x8>
Окей, у них одинаковое смещение, нужно детектить по нему и впихивать в юнион. Заодно перепишу для дампа в базу данных напрямую (SQLite, а оттуда уж перелью в мускул).

Ещё одна проблема- проёб именованных union, она их записывает как union <unnamed-tag> u и всё, концов её не найти. pdbripper выдаёт им номера, хотя, как по мне, лучше их встроить, так как все встреченные мною такие объединения были встроены.

Какие ещё заумности есть в структурах, на которых может споткнутся утилита?

>>981040
>какое?
Выясняй методом половинного деления. И лучше на тестовой доске.
По вопросу- многозадачность работает на прерываниях. Системный таймер генерирует прерывание, которое прерывает работу любого пользовательского потока и запускает системный код, который и определяет, можно ли дальше работать программе или ей уже хватит.

>>960640 (OP)
Как переделать программу одной ОС в программу другой ОС?
Вот, допустим, у меня программа gcc для линукса. Хочу я её перенести на мою собственную ОС. По сути надо не сильно изменить. Ведь да? Надо только поменять сигнатуру исполняемого файла, если надо, и заменить системные вызовы на вызовы специальных процедур, которые будут эмулировать системные вызовы в Линуксе. Я всё учёл?

>>981527
Всё учёл, кроме того, что люнЮфъсь — это не операционная система, а прежде всего религия.
А так-то да, зделой POSIX API, купи торговую марку, догадайся как попадать в новостные ленты (это вот не так легко, как кажется) и вперёд, у тебя есть своя ОС.

>>981527
>Вот, допустим, у меня программа gcc для линукса.
У неё есть исходные коды, изменяй @ компиляй.
>Надо только поменять сигнатуру исполняемого файла, если надо
Сами форматы исполняемых файлов отличаются, так что не всё так просто.
Целевую программу и ОС не назовёшь, или нам дальше давать общие советы?

Репост из мертвого треда
Неофит ИТТ. Поясните пж за следующую вещь. В hex-редакторе при анализе структуры PE файла (pic 1) вижу, что VA OEP = 10212, а ImageBase = 4194304, тогда абсолютный адрес точки входа = 4194304 + 10212 = 4204516 = 0x004027E4, и вроде как в дебаггере именно это число я и должен увидеть помеченным как entry point, но чому то в ollyDbg2.01 я вижу (pic 2) 0х00CE27E6. Я неправильно считаю точку входа? Неправильно трактую значение адресов в левом столбце в ollyDbg? Или еще что то делаю не так?

Алсо, я понимаю, что в olly я вижу образ процесса, а не дизассемблированный исполняемый файл, и загрузчик может выравнивать образ по размеру страницы оперативной памяти, но не настолько много ж блеть. Или настолько?
И да, исполняемый файл не упакован/не зашифрован, т.к. написан мной.

>>983183
Во-первых, в ольке ты видишь EP = 0xce27e4, а не 0xce27e6. Во-вторых, если в образе есть релоки, и линкер поставил в IMAGE_OPTIONAL_HEADER.DllCharacteristics флаг IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE (в современной студии /DYNAMICBASE у линкера по умолчанию), то система считает себя вправе использовать ASLR для образа, т.е., выбирать рандомный базовый адрес.

На первом пике: DllCharacteristics лежат по 0x15e, это 0x8140 = ...DYNAMIC_BASE, ...NX_COMPAT, ...TERMINAL_SERVER_AWARE.

>>983230
Понял, спасибо.

>>983183
>>983230
Бля, ну вот откуда вы все это умеете? (

>>983252
Я давно догадывался, что тут сидит норот с форума RSDN.

>>983495
>1. Почему в памяти по адресу 01892950 нет значения 325?
325 в hex это 0x145. А теперь смотри, что у тебя в памяти.

>>983559
Ну охуеть! И правда.

Теперь остаются остальные вопросы. Я написал маленькую тулзу, которая читает память.

Пик1. Читаю значение по финальному адресу 017F29E0, вытаскиваю правильное 545. Тут всё ок.

Пик2. Читаю значение по оффсету 00634630 в надежде получить свой финальный адрес (в нем же должен храниться указатель, разве нет?), и получаю совсем не то значение. Что я делаю не так?

>>983605
Уууу, отклеилось

>>983606
Всё, сам понял. Там правилольное значение, просто в десятичной системе.

>>983606
Пздц. Это весь тред такой или всё-таки стоит почитать?

>>983624
Ой, иди нахуй, я только вкатился и пытаюсь разобраться.

>>983624
В прошлом анон на асме на голом железе что-то рисовал, а в этом только шапку, если вдруг чего оттуда не читал.
ОП

Никто случаем не поделится парой логин-пароль для базы crackme на exelab по ссылке https://exelab.ru/crackme/

Или мб есть какой нибудь другой ресурс с кучей crackme и мануалом по их прохождению? Язык можно русский или английский.

>>983783
Всё, отбой. Это просто я тупой.

Допустим, я дизассемблировал программу и мне нужно заменить команду
cmp eax, 0
на
cmp eax, ebx

Как мне это сделать в ida pro? Что то там по дабл клику только eax можно заменить на другой регистр, но вот константу никак. Или в ida pro нет такого функционала, потому что при некоторых заменах придётся учитывать появившиеся сдвиги, ведь в машинном коде размер команды может измениться? Тогда мне, я так понимаю, остаётся только вручную править байты в hex редакторе. И тут вопрос, как мне понимать, что писать, чтобы получить нужные команды, регистры и тд? Типа,
cmp eax, 0 === 83 f8 00, ага. Эмпирическим путём я установил, что cmp транслируется в 0x83f, 8 означает eax (9 уже почему то ecx), а 00 - константный байт, но из каких соображений мне вбивать необходимую команду?

>>983820
Кажись нашёл онлайн конвертер. Втыкать NOP на место лишних байт нормальный подход, или плохой тон? И еще, Это сейчас мне повезло, и
cmp eax, eax занимает 2 байта, а cmp eax, 0 - 3. В другой ситуации мне придётся сдвигать машинный код на n байт вправо от места вставки? Я так понимаю, это может отразиться негативно, ведь в программе есть ссылки на константные переменные. Или если константные переменные в секции .data, а хуячу я в .text, то можно не ссать и вообще полный вперёд?

>>983820
По даблклику там переименование регистров, просто для удобства чтения дизасма. Сам код от этого не меняется. А чтобы пропатчить код есть Edit->Patch program->Assemble, но это пропатчит только базу. Чтобы сохранить изменения, там же есть Apply patches to input file.

>>983826
Втыкать нопы норм. Единственная проблема с патчами - релоки. Если ты правишь код, на который есть релоки, нужно убирать соответствующую запись из релоков, если втыкаешь абсолютый адрес - добавляешь запись. Если релоков нет, и >>983230 ASLR отключен, то просто патчишь.

>>983829
Всего 5 минут в этом вашем RE и эти релоки уже начинают мне надоедать. Чем чревато просто уебать в pe optional header в dll characteristics аргумент, в который не входит dynamic relocation? Зойчем он вообще нужен? Или в особо больших программах, которые потребляют много ОЗУ это будет полезно?

>>983832
Для .exe можешь спокойно поставить флаг relocation stripped в IMAGE_FILE_HEADER. Для .dll без релоков никак.

Это снова я >>983495

Что обозначает такая запись "App.exe"+016751A0 ? Это значит базовый адрес "App.exe" плюс смещение, или просто смещение от нуля?

>>983921
У нормальных людей да, это базовый адрес модуля со смещением. Что там в читенжине наворотили, смотри у них в мануале.

>>983936
Да и в читенджине должно быть основа плюс смещение... Вот только у меня ничего не выходит, теперь уже в 64битном приложении. Основа у него 1400000000 и даже без смещения это уже больше, чем нужно.

Можно ли как-то Hex-Rays заставить показать псевдокод ассемблерного листинга структурной обработки исключений? Просто он выдаёт код как-будто никаких try с except вообще не существует. А то я скоро Asm начну понимать.
Версия Ida 6.8, по понятным причинам.

>>986094
Насколько я знаю, нельзя. Продолжай подглядывать в дизасм. Алсо, можешь набыдлокодить плагин для простых случаев.

>>983839
Зачем нужны релоки, если можно компилить в position independent code?

>>986156
PIC тоже содержит релоки, но только для секции DATA и по одному перемещению на каждую переменную (а не на каждое обращение).

>>986156
PIC медленнее для 32-битного кода - приходится жертвовать регистром, а их и так мало.

>>986213
> Для прыщей есть книжка Линкерс-анд-лоадерс, а для спермы что есть?
Книжка линкерс энд лоадерс (там PE вниманием не обходят, да и базовые принципы везде одинаковые), книжка виндоуз интерналс, спека формата PE и многочисленные статьи.

Допустим есть строка с байтами из памяти cc 02 77 5e e7 02 02 10 14 00 0e 00 88 18 00 и тд. Как понять, где заканчивается одно значение и начинается другое? Тут могут быть строки, 1-байтные, 2-байтные, 4-байтные переменные, я хз.

>>986660
Нужно найти код, который работает с этими данными. Например, поставить на эти данные хардварную точку останова при чтении/записи.

>>986663
У меня программа запакована. Допустим, я часть этих данных экспериментально могу узнать просто меняя данные. Например, я так вытащил имя пользователя, длину имени и еще пару значений. Но что с остальными, если доступа к нормальному коду нет?

>>986664
Можно менять данные и смотреть поведение программы. Можно собрать больше таких данных, и на основе статистики что-то разбирать. Все же можно ставить бряки и смотреть код - обращаться к ним будет уже распакованная программа, если это не протектор, конечно. Можно разбирать частные случаи (как твоя длина имени) - искать длины/смещения, указатели, числа с плавающей точкой, круглые/известные/магические числа. Магии, которая позволит однозначно определить всю структуру на основании одного куска данных нет.

>>986665
>Магии, которая позволит однозначно определить всю структуру на основании одного куска данных нет.
А жаль, именно это мне и нужно было. Игрушка онлайновая, размер огромный, библиотек тысячи, клиент запакован... тут брейкпоинты не помогут.

>>986666
Тебе что, её всю отреверсить нужно как мне винду?
Раз нет, то ищи бряками то, что нужно.

>>986676
Я не понимаю, как бряк будет работать с онлайновым приложением. Если связь прервется, то оно просто упадет, это же ММО.

>>986677
Если оно падает при каждом разъединении, то это лол.
Впрочем, никто не говорил, что будет легко.

>>986677
Можно просто в журнал писать при брейкпоинте, а не останавливаться; можно трейс запускать на некоторое время. Олька умеет вроде.

>>960640 (OP)
ЗА ЩО во многих исходных кодах используется синтаксис AT&T? Он же неудобный. Или авторы специально нам дают код в AT&T, а сами используют intelовский синтаксис?

>>960640 (OP)
дайте ссылку на код работающего кернеля, который переводит в 64-битный режим.

>>987404
Гугли Windows Research Kernel :3

Бампну прогрессом реверса WRK что ли...
Убавил ntoswrk.lib на 520кб, вышло 922кб кода. Брал самое лёгкое, дальше сложнее. Видимо, работа эта непосильна для одного человека за разумное время. Продолжаю.

Как в ollydbg поставить БП на нажатие кнопки?

>>989000
F2.

Не лезь с тупыми вопросами, дебил, блядь, пока базу не освоил самостоятельно.

>>989000
Ну примерно так и ставить, да. Только условный, на оконной процедуре, по сообщению WM_KEYDOWN и с проверкой wParam на нужную кнопку.

>>989024
Пидорас, я знаю хот кеи. Ты дал очень точный, но абсолютно бесполезный ответ, как в анекдоте про неудачливого парашютиста и программиста. Я имел в виду, как мне в интерфейсе ollydbg найти кнопку (например, по тексту на ней), и воткнуть БП на событие нажатия.
вот этот господин >>989029 дал информативный ответ на вопрос, за что ему спасибо. правда я уже делал это, просто забыл как, но всё равно спасибо.

>>989033
View->Windows. А раз ты говорил про кнопку интерфейса, то брейкпоинт надо на WM_COMMAND ставить.

>>989033
Когда я в подходящем настроении, я не могу пройти мимо тупых пидорасов в /pr/, не назвав их тупыми пидорасами. У меня хоть и был ДИАЛАП, когда я делал первые попытки писать кейгены, но я себе не мог позволить задать ньюфажный вопрос, не прошерстив архив статей на жестком диске на предмет информации, которая бы помогла мне самостоятельно найти ответ на свой вопрос. В каждом, сука, треде регулярно появляются аноны, которые путают форму ответа в зекаче с поисковой строкой.

Раньше трава была зеленее и на форумах ридонли за такое давали.

>>989106
> на форумах ридонли за такое давали
Пиздишь. Мне в конце 90-х в IRC, не жалея своего времени, объясняли базовые, в общем-то, вещи, на разный лад, пока я не понял. И я не помню, чтобы на каком-нибудь васме давали ридонли за вопросы по теме. Или, может быть, ты сидел в каком-нибудь ололо-преватном какерском форуме среди илиты, которая возгордилась и не могла снизойти?

>>960640 (OP)
дайте ресурс, где написано как устроены команды x86_64, где там префиксы, коды команд и всё такое.

Посоветуйте какие-нибудь программы для реверса закрытых файловых форматов. Не исполняемые, тупо хранятся данные. Под линукс желательно.

>>989990
Говоришь в гугле Intel Software Developers Manual. В начале instruction set reference будет глава про форматы, в конце - овердохуя таблиц.

>>989992
010 editor и моск. Можешь посмотреть на Kaitai Struct, но я лично считаю говном и сам кайтай, и его автора разумных доводов приводить не буду.

>>990001
>Говоришь в гугле Intel Software Developers Manual
Сложна. Короче, я просто через хекс-эдитор проверю как компилит фасм в разных комбинациях операндов и возьму результат. Я делаю компилятор своего личного языка программирования.

>>990008
> делаю компилятор своего личного языка программирования
Можешь поступить, как авторы PowerBasic - генери асм-код, используй fasm для сборки (алсо существует fasm as dll, гуглится). Ну или осиль LLVM, это гораздо более правильный подход.

>>990001
>Kaitai Struct
Наткнулся на это когда гуглил. Совсем говно? Приведи какие есть доводы, не важно насколько они разумны.

>>990012
Ох, нет, это ещё сложнее, я ничего не понял что в википедии о нём написано. Я лучше буду использовать примеры gcc, как он оптимизирует код, плюс попробую придумать своё.

>>990014
Оно решает задачи, если примириться с предлагаемым подходом. Подход говно, некоторые форматы этим не описать, некоторые существующие описывать максимум неудобно. А автор ниразбирается в реверсе файловых форматов, на многие фичи его уговаривали месяцами. Про генератор парсеров на джаве просто молчу.

>>990025
Можешь код на Си генерить, это тоже нормально, так даже сам Страуструп для крестов делал первое время.

Реквестирую максимально простую прогу, которая выводит десятичное число. Сам пытаюсь, но не выходит, несмотря на нагугленное. FASM.

>>990042
Забыл указать ОС и архитектуру.

>>990049
DOS, x86

>>990042
Посмотри здесь:
http://asmworld.ru/uchebnik/

как раз уроки на FASM. И, помнится мне, там есть пример того, что тебе нужно.

>>990029
Я и так пишу компилятор на си, я офигею его на ассемблере писать, тем более с моими сотнями ифов и елсе.
Потом постораюсь перевести си-код на код своего языка и скомпилить.

>>990055
Мне бы попроще пример. Там слишком уж комплексный. Потыкаю, коонечно