ВИДЕОКУРС ВЗЛОМ
обновлён 2 декабря!

Добрый день. Подскажите пожалуйста как работать с библиотекой которая не была инициализирована в начале программы, ну например вызвать из kernel32.ReadFile и чтобы не вылетал Access Violation? Чтобы было ещё понятнее, есть левая программа, я запускаю её через ollydbg и копирую байт-код(ну или опкоды, как кому понятнее) который делает тупо invoke kernel32.ReadFile, но к сожалению выскакивает Access Violation и всё повисает Так вот как сделать динамическое обращение к библиотеке ?

LoadLibrary, GetModuleHandle, GetProcAddress

r_e, FacePalm LoadLibrary лежит в Kernel32, который как раз мне и нужно подключить

Добавлено спустя 3 минуты
Я имею ввиду, что с библиотеками нужно обращаться грубо говоря как из shell-последовательности байт.

alex-rudenkiy пишет:
LoadLibrary лежит в Kernel32, который как раз мне и нужно подключить
Ваш этот kernel32 уже по умолчанию загружен в ваш процесс. Не верите? Проверьте и убедитесь что это так.

alex-rudenkiy пишет:
грубо говоря как из shell-последовательности байт
Взгляните на такую кастомную реализацию загрузчика библиотек:
https://github.com/fancycode/MemoryModule

Но лучше понять как использовать то что порекомендовал r_e, так меньше проблем будет.

HandMill пишет:
Ваш этот kernel32 уже по умолчанию загружен в ваш процесс. Не верите? Проверьте и убедитесь что это так.

Он хэндл kernel'а не знает как получить.
И документированных и гарантированно рабочих способов для этого нет.

Вот как это делается:

| Сообщение посчитали полезным: soft

На новых ОС этот код кернелбэйс должен вернуть вместо кернел32, кошернее так

| Сообщение посчитали полезным: Veliant

VOLKOFF, извините пожалуйста за мою глупость, но чем мне поможет хранящийся после выполнения этих команд адрес в EAX и указывающий на структуру IMAGE_DOS_HEADER, в вызове kernel32.LoadLibrary?

Я лишь показал простое рабочее решение под XP...Win10
Принцип: PEB->LDR->InLoadOrderModuleList->NTDLLPtr, Kernel32Ptr->база Kernel32
А имея базовый адрес, не составит труда прочитать таблицу экспорта, и получить адреса функций.

dosprog

> И документированных и гарантированно рабочих способов для этого нет.

Примитивный проход по связанному списку:



Ну а в общем вопрос бессмысленный. Где описание ошибки ?

alex-rudenkiy пишет:
извините пожалуйста за мою глупость

) та ничо, всё нормально

Ищи, короче, программу "Armadillo Environment Variables Injector"
и присмотрись внимательней, что там она инжектирует в программы.
Там тебе и ответ на интересующее

dosprog
Разбирал тут инжектор dll (очень хорошей) в процесс.. (переделывал с асма, а то инжектило, через раз,
то с какимито висяками (чегото там наворочено было) - пришлось упрощать до максимума..)
>> очень простой лодер <<
Хотя у либы после запуска по EP проблем не было, ни с кернелом, ни с инициализацией..

Ни с размещением маячков над головами..

а если разобрать как работают GetModuleHandle, GetProcAddress то можно и без них обойтись а если ещё глубже капнуть то можно получить, путь к модулю,его размер, точку входа..........

ClockMan,
за подобный рабочий пример (xp-win10) как у VOLKOFF, dosprog в плане GetProcAddress был бы благодарен.

ClockMan

> а если разобрать как работают GetModuleHandle, GetProcAddress то можно и без них обойтись

Ну да, это обёртки для нэйтива. Ldr* api. Тема бред какой то, тёмный лес для всех - суть вопроса хз, о чём обсуждение так же хз.

soft пишет:
за подобный рабочий пример (xp-win10) как у VOLKOFF, dosprog в плане GetProcAddress был бы благодарен
ловите


{ Атач доступен только для участников форума } - test.zip

| Сообщение посчитали полезным: soft

до кучи - у catch22.net увидел
https://github.com/strobejb/injdll