Метод, который мы не рассмотрели, чтобы эксплуатировать одну из уязвимостей драйвера HACKSYS. Мой друг попросил у меня несколько разъяснений о методе, используемом для обхода COOKIE на 32-битных машинах, когда у нас есть переполнение стека в ядре, и мы можем перезаписать адрес возврата, но есть COOKIE, который мешает нам завершить выполнение кода. Очевидно, что если у нас есть другая уязвимость, которая допускает утечку данных, мы могли бы прочитать значение COOKIE и затем использовать его для отправки наших данных, для перезаписи, но есть метод, который я никогда не использовал на практике, который немного стар и в системах, отличных от WINDOWS 7 32 бит не будет работать, но было бы хорошо взглянуть на него, чтобы уточнить для моего друга и того, кто читает меня (и для меня самого). Мы уже знаем, что уязвимый драйвер можно скачать отсюда. https://github.com/hacksysteam/HackSysExt remeVulnerableDriver/releases/download/v1.20/HEVD... (читайте далее в статье)

ТУТОРИАЛ ДЛЯ РЕШЕНИЯ ЗАДАНИЯ NICO ИЗ EKOPARTY 2018 - ЧАСТЬ 2. Давайте сделаем скрипт на PYTHON для решения конкурсной задачи NICO, которую мы реверсировали в предыдущей части. Cкрипт основан на реверсинге, который мы делали, а также на решении, которое прислал мой дружбан LUCAS KOW, особенно это видно в части про ROP, и мы объясним, как это сделать. Если я запускаю скрипт LUCAS, я вижу что останавливается счетчик de la fuga de capitales(сложно понять без запуска про что он говорит) и что запускается калькулятор. Поэтому давайте посмотрим на это всё. Очевидно, что, во-первых, устанавливается соединение с сервером, который будет прослушивать порт 41414, как мы уже видели. В качестве IP-адреса я введу 127.0.0.1, так как запускаю его на той же машине. Если сервер находится на удаленной машине, придется ввести IP машины, на которой работает этот сервер. Здесь импортируется сокет и устанавливается соединение с ним. Напомним, что первый пакет назывался HANDSHAKE... (читайте далее в статье)

ТУТОРИАЛ ДЛЯ ЗАДАНИЯ NICO ДЛЯ EKOPARTY 2018 - ЧАСТЬ 1 Давайте отреверсим шаг за шагом задание NICO для EKOPARTY 2018. Это сервер скомпилированный 64-битным компилятором и работающий конечно на WINDOWS. Для начала я посмотрю на него в WINDOWS 7. В любом случае, часть статического реверсинга будет похожей. При запуске мы видим следующее. Описание находится здесь. https://labs.bluefrostsecurity.de/blog/201 8/09/11/bfs-ekoparty-2018-exploitation-challenge/ Резервные запасы уменьшаются и вы должны остановить это, затем, в качестве второй цели, вы должны запустить калькулятор. Мы открываем исполняемый файл в IDA64, чтобы проанализировать его. В окне строк мы ищем TOTAL RESERVES и получаем два результата. Давайте посмотрим, где они используются. И нажав клавишу X мы можем увидеть ссылки. Здесь мы видим цикл со счетчиком... (читайте далее в статье)

Реверсинг задачи по SCADA В группе телеграмм мы поставили перед собой задачу, которая относится к реверсингу следующего CVE, чтобы практиковаться с реальным программным обеспечением. CVE-2013-0657 https://ics-cert.us- cert.gov/advisories/ICSA-13-018-01 Здесь есть ссылка. Все версии и 9 и 10 являются уязвимыми, за исключением тех версий, к которым был применен патч. Уязвимую версию 9 можно загрузить отсюда: HTTPS://DRIVE.GOOGLE.COM/OPEN?ID=1V4DAVXW D6FYSMVK4UKRG-SHCJNXI55XN А патч отсюда: HTTP://IGSS.SCHNEIDER-ELECTRIC.COM/IGSS/I GSSUPDATES/V90/PROGUPDATESV90.ZIP Это исполняемый файл, который прослушивает порт TCP 12397. Если мы установим программу, мы увидим, какой исполняемый файл прослушивает этот порт. Когда я устанавливаю программу, я сначала выбираю опцию DEMO, а затем FREE FOR 50. С этими настройками я могу запустить программу нормально. И когда я нажимаю на кнопку START, программа начинает работать... (читайте далее в статье)

СЕГМЕНТАЦИЯ И ПЭЙДЖИНГ ПАМЯТИ ДЛЯ АРХИТЕКТУРЫ X86 В этой части туториала мы попытаемся увидеть управление памятью для архитектуры X86, а позже попытаемся актуализировать знания для X64. Это серьёзная тема. Она включает в себя таблицы, которые вы должны понять и научиться находить, поэтому мы будем идти медленно и верно. Давайте посмотрим, некоторые понятия полученные из Интернета. РЕАЛЬНАЯ ПАМЯТЬ ТАКЖЕ НАЗЫВАЕМАЯ ФИЗИЧЕСКАЯ ИЛИ ПАМЯТЬ RAM Эта память используется для хранения инструкций и выполнения процессов на нашем компьютере. Емкость этой памяти - это реальная емкость, которая необходима нашей машине для выполнения наших программ. ВИРТУАЛЬНАЯ ПАМЯТЬ Виртуальная память больше, чем физическая память как таковая. Она является техникой, используемой в вычислительной техники для симуляции того, что у вас есть больше емкости физической памяти. Техника состоит в том, чтобы хранить определенное количество файлов на жестком диск для их мгновенного хранения... (читайте далее в статье)

Мы возвращаемся после праздников с новыми туториалами. В этом туториале мы увидим вариант эксплуатации того же самого драйвера, который мы видели для WINDOWS 7 32 бит. Только теперь сделаем для WINDOWS 10 32 бит. Разница, как мы сказали, состоит в SMEP. Это защита позволяет избежать перехода ядра на выполнение страниц, помеченных как пользовательские. Как мы делали в примерах, которые мы видели до сих пор, мы выделяли страницу в пользовательском режиме с разрешением на выполнение. Когда мы берем на себя контроль на страницей, мы переходим туда, где находится наш шеллкод. Тот, кто хочет углубиться по теме SMEP, здесь есть очень хорошее объяснение. Но оно английском языке. https://www.coresecurity.com/system/files/ publications/2016/05/Windows SMEP bypass U=S.pdf Бит 20 отладочного регистра CR4 - это бит, который активирует защиту SMEP... (читайте далее в статье)

Мы рассмотрим другой случай в уязвимом драйвере. Теперь поговорим о INTEGER OVERFLOW. Многие спрашивают меня, почему бы не проанализировать его непосредственно в C или C++. Проблема состоит в том, что некоторые из них уже сделаны на C и C++. Методы те же самые. Поэтому перенос их на PYTHON не только приносит что-то новое, но и заставляет нас практиковаться в PYTHON и библиотеке CTYPES, что является для нас важным. Для тех, кто хочет увидеть методы, исходный код доступен здесь: https://github.com/hacksysteam/HackSysExtr emeVulnerableDriver/tree/master/Exploit И здесь он уже откомпилирован... (читайте далее в статье)

Перед тем, как начинать объяснять скрипт на PYTHON давайте скажем, что он основан на коде языка C, который находится на странице уязвимого драйвера. https://github.com/hacksysteam/HackSysE xtremeVulnerableDriver/tree/master/Exploit Этот метод достаточно старый. Мы использовали его в моей работе совсем недавно. Хотя мы не использовали библиотеку CTYPES поэтому если есть какая-либо ошибка при использовав CTYPES, разработчики просят их простить. И это не то что я использую каждый день. Мы увидим скрипт, который, как мы уже говорили, работает только в 32-х разрядной версии WINDOWS 7, а не на 64-битных машинах. Позже мы рассмотрим его на 64-битной машине, чтобы адаптировать его к этому случаю. После необходимых импортов библиотек, среди которых есть и CTYPES, есть некоторые константы, которые нам необходимы, а также классы и функции. Чуть ниже начинается основной код. У нас есть шеллкод, который похож на переполнение стека, который меняет только инструкцию RET. В нашем случае только RETN. В другом случае будет RETN 8... (читайте далее в статье)

Давайте рассмотрим ARBITRARY OVERWRITE(записать то, что мы хотим туда куда мы хотим) того же самого уязвимого драйвера. Конечно, я хочу уточнить, что это старый метод, который работает только на WINDOWS XP и WINDOWS 7, и в этом случае только для машин x86. НА МАШИНАХ С WINDOWS 7 64 БИТ ЭТО НЕ БУДЕТ РАБОТАТЬ. По крайней мере если не адаптировать немного эксплоит. Мы должны хорошо проверить некоторые значения которые не равны. Наша цель - это 32-х битная WINDOWS 7. Но всё равно это нам понадобиться для того, чтобы свыкнуться с CTYPES, которые являются немного сложными и чтобы продвигаться вперед понемногу. В диспетчере, который обрабатывает различные IOCTL коды. Мы видим, что есть один, который помечен как ARBITRARY OVERWRITE, поэтому мы отмечаем его... (читайте далее в статье)

Хорошо. Нам осталось добавить сам шеллкод. Это типичный шеллкод, который крадет токен процесса SYSTEM и копирует его в наш процесс. Он очень короткий. Но стоит его хорошо проанализировать. shellcode="\x53\x56\x57\x6 0\x33\xC0\x64\x8B\x80\x24\x01\x00\x00\x8B\x40\x50\ x8B\xC8\xBA\x04\x00\x00\x00\x8B\x80\xB8\x00\x00\x0 0\x2D\xB8\x00\x00\x00\x39\x90\xB4\x00\x00\x00\x75\ xED\x8B\x90\xF8\x00\x00\x00\x89\x91\xF8\x00\x00\x0 0\x61\x33\xC0\x83\xC4\x0C\x5D\xC2\x08\x00" Ш еллкод - довольно общий. То, что нужно знать про шеллкод, состоит в том, что когда он завершается, он возвращается к процедуре откуда он был вызван. Для этого нужно внимательно посмотреть. Последняя инструкция RETN должна быть RETN 4 или больше, чтобы вернуться туда куда нужно. Если бы мы не перезаписали RET случилось бы переполнение и программа продолжила работу. Иначе будет BSOD и чао-какао. Здесь мы видим, как я разместил шеллкод... (читайте далее в статье)

Ищем vBulletin 5, Russian Language Pack. Ищем именно Language Pack ))
Все для новой версии форума.
$75... (читайте далее на форуме)

Привет. Мне нужна помощь по крекми нарваха 28 глава
Crackme v1.0 by acud burn. Я смог убрать наш окно,но никак не смог найти место куда записывается мои введённые данные. Я смотрел в разделе памяти,но он там не появляется. Пробовал ставить брекпоинта на сравнение строк,но все... (читайте далее на форуме)

Можно ли как-то отследить значение переменных в режиме дебаггинга в JEB?
Я ставлю брейкпоинт. В байткоде значение всех переменных int, в локалках тоже не нашел нужного значения, а именно... (читайте далее на форуме)

Есть фунция gettimeofday, в нее передается адрес структуры timeval. Насколько я знаю передается первый элемент (поправьте если ошибаюсь). После этого значения структуры присваиваются переменным и начинаются преобразования. Первый imul (как я понял) переводит микросекунды в миллисекунды, но что происходит дальше? И что в итоге мы получаем в var_58h. Заранее... (читайте далее на форуме)

Добрый день.
Есть некоторое приложение, которое использует TLS и внутри собственный протокол обмена данных с сервером. Решаемая задача в том, чтобы считывать весь трафик/отправлять нужные пакеты.
Протокол разобрали на 70-80%. Приложение привязывается к железу, использует паспортные данные, карты пользователя и т.д. Т.е. любой пользователь, по-идее, может иметь только один аккаунт, т.к. там это всё проверяется. В приложении достаточно много различных вариантов обнаружения отладчиков, виртуальных машин, "запрещённого софта", контрольные суммы и т.п. Софт очень часто обновляется и все эти проверки сложно каждый раз отлавливать. Если на "той" стороне что-то не понравится, то этот пользователь банится "навсегда", т.к. использовались личные данные/карты при регистрации.
Вопрос в том, в какой момент и как лучше всего подменять/читать данные? Варианты и pros/cons следующие:
1. Просто патч программы на входе/выходе с расшифрованными данными. Минус в том, что если какую-то проверку из софта... (читайте далее на форуме)

Привет ребята.
Подскажите пожалуйста в каком формате хранятся эти данные в PE файле.
В RC DATA накиданы ресурсы начинающиеся с TPF0,
не могу найти их структуру что бы... (читайте далее на форуме)

Всем доброго время суток. Небольшая проблемка с программой на дельфях, все вроде понятно, но вот после прохождения активации не добавляется ничего в базу. Клик по меню дня недели, попросит регистрацию, брякается тут 00581400, возвращаем 0 или retn, запускается дальше окно, клик по зеленой стрелочке, ввожу любые данные и они не добавляются.
Сейчас так

Должно быть так (скрин из демки)

Обход регистрации (клик по меню дня недели, попросит регистрацию)
00581400 Unit47.TForm47.RegME - метод должен вернуть 0 или просто не выполниться, банальное сообщение вылазит.


Валидные данные регистрации:
Cерийный номер - 26811109701792326286
Регистрационный код - 30150294920762675862723139

--> Прога <-- Скопировать папку Eda в корень диска C:&#92;
Заранее спасибо всем за... (читайте далее на форуме)

Всем привет. Нет, это не краденое, это не чернуха или что то запрещеное УК.
Скажите, пожалуйста, можете ли сказать чем упакован пхп код, упакован ли вообще, может просто типа декомпиляция нужна(не знаю как в пхп это называется) или типа того.
Вот скрин кода http://joxi.ru/4AkpkV6fowwRqr
Нужно с этим что то сделать чтобы получить читаемый пхп код.
Подскажите, пожалуйста, в какую сторону смотреть. Можно ли это сделать самому или есть специальные люди и вы их знаете и они готовы... (читайте далее на форуме)

Нашел вот что:
Проверка имени и ключа вот тут, то есть по адресам:
00842A9E
00842AB4
Пр обовал Nop и JMP по адресу но не проходит. Хочу добить сам программу потому и спрашиваю.
А по адресу 00842B51 нашел где регистрация успешна.
Я не очень опытный но знания есть, прошу помощи!

CPU Disasm
Address Hex dump Command Comments
00842A3A |. BE C0E79C00 MOV ESI,OFFSET Password_Protect_Video_Master.009CE7C0 ; ASCII "1234567890qwertyuioplidmshyftssnnxbsg1234567890qw ertyuioplidmshyftssnnxbsg1234567890qwertyuioplidms hyftssnnxbsg"
00842A3F |. 8DBD 2CFFFFFF LEA EDI,[LOCAL.53]
00842A45 |. F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI]
00842A47 |. C745 F0 01000000 MOV DWORD PTR SS:[LOCAL.4],1
00842A4E |. C785 D4F9FFFF... (читайте далее на форуме)

Уже не раз попадается на глаза этот проект: https://hyperdbg.com/ https://github.com/HyperDbg/HyperDbg
Позици онирует себя как отладчик-гипервизор , со всеми преимуществами (не использует дебаг апи, сложно обнаружить). В общем, вот официальное описание:
It is designed on top of Windows by virtualizing an already running system using Intel VT-x and Intel PT. This debugger aims not to use any APIs and software debugging mechanisms, but instead, it uses Second Layer Page Table (a.k.a. Extended Page Table or EPT) extensively to monitor both kernel and user executions.
HyperDbg comes with features like hidden hooks, which is as fast as old inline hooks, but also stealth. It mimics hardware debug registers for (read & write) to a specific location, but this time entirely invisible for both Windows kernel and the programs, and of course without any limitation in size or count!
Using TLB-splitting, and having features such as measuring code coverage and monitoring all mov(s) to/from memory... (читайте далее на форуме)