buenas shadowdark, mira lo que viene mi pregunta es sobre este post que tmb hice yo http://foro.elhacker.net/index.php/topic,194597.0.html y lo que quiero saber es que este método es para borrar completamente la pe header, es un método de hacer indetectable un módulo que se carga en la memoria de un proceso creo según he leido, pero lo que no entendia es sobre el borrado completo de la pe header o de algunos datos en ella solamente es decir la diferencia entre una cosa y la otra
- Bienvenido a Test Foro de elhacker.net SMF 2.1.
Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.
#12
Ingeniería Inversa / KERNEL LAND hooking para hackear el sxe injected antichit
11 Enero 2008, 19:58 PM
buenas, tengo una duda con kernel land hooking estuve viendo qye ciertos cheats para sxe la mayor cantidad digamos se hacen con SSDT hooking en modo kernel, y el sxe injected usa un driver para hookear en system service descriptor table, entonces supongo que el cheat hookea primero y luego el anticheat o sino visceversa lo cuaol no entinedo muy bien, el tema es que esta forma de hook a ssdt es muy documentada dicen, y se puede lograr, con vistas a poder hookear ssdt sin que el anticheat me detecte.
la otra cosa es que otras formas de hook en modo kernel hay aparte de ssdt hooking para poder usar todas las funciones que necesito y que no puedo usar en modo de usuario porque ese anticheat hookea en modo ring 0 y me las deniega de hookearlas en modo usuario no...... alguien seria capaz de tirarme algunos codigoz o sino algo de informacion seria para empezar a realizar estos hooks en modo kernel y tratar de que no me chape este anticheat,,, aprecio links, textos, y si viene algun ejemplo de codigo en ensamblador, c++, pascal bienvenido para empezar a entender como hacer esto saludos
la otra cosa es que otras formas de hook en modo kernel hay aparte de ssdt hooking para poder usar todas las funciones que necesito y que no puedo usar en modo de usuario porque ese anticheat hookea en modo ring 0 y me las deniega de hookearlas en modo usuario no...... alguien seria capaz de tirarme algunos codigoz o sino algo de informacion seria para empezar a realizar estos hooks en modo kernel y tratar de que no me chape este anticheat,,, aprecio links, textos, y si viene algun ejemplo de codigo en ensamblador, c++, pascal bienvenido para empezar a entender como hacer esto saludos
#13
Ingeniería Inversa / ACTUALIZANDO LOS OFFSETS DE TUS CHEATS
6 Enero 2008, 06:14 AM
lo primero es tener 3 herramientas para actualizar el cheat:
1) Hex Workshop ( consigue el serial tu mismo)
- a) Instalar usando el installer
2) Una copia de UPX
3) Una lista con los offsets antiguos y nuevos.
los offsets antiguos son desde el update del 12 de octubre del 2003, y los nuevos son los últimos.
ACTUALIZANDO LOS OFFSETS
1) Abre el archivo upx125w.zip.
- a) Extraer el upx.exe en tu unidad "C:\"
- b) ir al punto 2
2) Consigue la .dll que quieres actualizar y movela a tu unidad "C:\"
- a) Renombra tu .dll a 123.dll. ( esto lo hace más fácil luego! )
- b) ir al punto 3
3) Ir a: Inicio>Todos los Programas>Accesorios>Símbolo del Sistema
- c) Tipea lo siguiente: cd C:\. ahora la CMD dice: C:\>
- d) Tipea lo siguiente: upx -d 123.dll ( upx va a correr el .exe que pusiste en C:\ y -d le dice al upx que -descomprima el archivo llamado 123.dll )
- e) La mayoría de las .dll's no están comprimidas, entonces no vas a necesitar descomprimirlas.
- f) Ir al punto 4
4) Ahora clickea con el derecho en tu .dll y selecciona Hex Edit con Hex Workshop.
- a) Una ves que Hex Workshop se abra oprime CTRL+H, entonces debe aparecer una ventana de reemplazo (replace window).
-b) Ve a Type, y desde la "drop down table" selecciona Hex Values.
- c) Ir al punto 5
5) Abre tu lista de antiguos offsets
- a) Empecemos con el offset "pEngfuncs". el antiguo es: 0x01eb52b8. el último del 12 de septimebre del 2007 es: 0x01ECCB00
- c) Ahora por la parte tramposa. Cuando observas un offset dentro de una .dll, los bytes son revertidos. entonces 0x01eb52b8 se debe ver como b8 52 eb 01 dentro de la .dll (de a dos porque son bytes)
- d) Ahora, ve a la ventana de reemplazo (replace window)
dentro del Hex Workshop y en la caja de búsqueda (find box) pon dentro tu offset revertido SIN ESPACIOS: b852eb01
- e) Luego toma los offsets nuevos, Revierte los bytes, y ponlos dentro de la caja de reemplazo inuevamente sin espacios: 00CBEC01
- f) Click en Ok. debes ver una caja delgada y larga que tiene distintos botones:
Find Next, Find Previous, Replace, Replace all, and Cancel.
Click en replace. la parte editada debe tornarse roja, lo que significa que fue editado.
- g) felicitaciones, haz actualizado tu primer offset. ahora repite el procedimiento para cada offset que tu cheat necesite.
la mayoría de los hacks vac proof usan pEngfuncs, pPlayermove, pEngstudio, slots, y el Retart / Slot Ptr. ( el SLOTS OFFSET y el SLOT POINTER son dos offsets completamente distintos. no los confundas o no va a andar tu cheat. ) para los usuarios del ECC o CN Hack estos cheats usan el offset globaltime. ( usado para speedhack. también conocido como el LTFX offset )
la mayoría del los cheat server cheats usan el pEngfuncs, pPlayermove, pEngstudio, slots, y el Sound_byte offset ( usado para el sound ESP )
-----------------------------------------------------------------
listado de offsets:
EDITO: para comentar que el post fue ideado por fx-illusionz y el listado de offsets por campstaff
1) Hex Workshop ( consigue el serial tu mismo)
- a) Instalar usando el installer
2) Una copia de UPX
3) Una lista con los offsets antiguos y nuevos.
los offsets antiguos son desde el update del 12 de octubre del 2003, y los nuevos son los últimos.
ACTUALIZANDO LOS OFFSETS
1) Abre el archivo upx125w.zip.
- a) Extraer el upx.exe en tu unidad "C:\"
- b) ir al punto 2
2) Consigue la .dll que quieres actualizar y movela a tu unidad "C:\"
- a) Renombra tu .dll a 123.dll. ( esto lo hace más fácil luego! )
- b) ir al punto 3
3) Ir a: Inicio>Todos los Programas>Accesorios>Símbolo del Sistema
- c) Tipea lo siguiente: cd C:\. ahora la CMD dice: C:\>
- d) Tipea lo siguiente: upx -d 123.dll ( upx va a correr el .exe que pusiste en C:\ y -d le dice al upx que -descomprima el archivo llamado 123.dll )
- e) La mayoría de las .dll's no están comprimidas, entonces no vas a necesitar descomprimirlas.
- f) Ir al punto 4
4) Ahora clickea con el derecho en tu .dll y selecciona Hex Edit con Hex Workshop.
- a) Una ves que Hex Workshop se abra oprime CTRL+H, entonces debe aparecer una ventana de reemplazo (replace window).
-b) Ve a Type, y desde la "drop down table" selecciona Hex Values.
- c) Ir al punto 5
5) Abre tu lista de antiguos offsets
- a) Empecemos con el offset "pEngfuncs". el antiguo es: 0x01eb52b8. el último del 12 de septimebre del 2007 es: 0x01ECCB00
- c) Ahora por la parte tramposa. Cuando observas un offset dentro de una .dll, los bytes son revertidos. entonces 0x01eb52b8 se debe ver como b8 52 eb 01 dentro de la .dll (de a dos porque son bytes)
- d) Ahora, ve a la ventana de reemplazo (replace window)
dentro del Hex Workshop y en la caja de búsqueda (find box) pon dentro tu offset revertido SIN ESPACIOS: b852eb01
- e) Luego toma los offsets nuevos, Revierte los bytes, y ponlos dentro de la caja de reemplazo inuevamente sin espacios: 00CBEC01
- f) Click en Ok. debes ver una caja delgada y larga que tiene distintos botones:
Find Next, Find Previous, Replace, Replace all, and Cancel.
Click en replace. la parte editada debe tornarse roja, lo que significa que fue editado.
- g) felicitaciones, haz actualizado tu primer offset. ahora repite el procedimiento para cada offset que tu cheat necesite.
la mayoría de los hacks vac proof usan pEngfuncs, pPlayermove, pEngstudio, slots, y el Retart / Slot Ptr. ( el SLOTS OFFSET y el SLOT POINTER son dos offsets completamente distintos. no los confundas o no va a andar tu cheat. ) para los usuarios del ECC o CN Hack estos cheats usan el offset globaltime. ( usado para speedhack. también conocido como el LTFX offset )
la mayoría del los cheat server cheats usan el pEngfuncs, pPlayermove, pEngstudio, slots, y el Sound_byte offset ( usado para el sound ESP )
-----------------------------------------------------------------
listado de offsets:
CitarOctober 12, 2003
pEngfuncs: 0x1EAC270
pEfxAPI: 0x1EC7600
pTriAPI: 0x1EC7CE8
pNetAPI: 0x1EC1BC0
pDemoAPI: 0x1EAD28C
pEventAPI: 0x1EB64F8
pVoiceTweak: 0x1ED2D80
pPlayerMove: 0x2D4F320
pEngstudio: 0x1EC7A60
__________________________
January 15, 2004
pEngfuncs: 0x1EAD270
pNetAPI: 0x1EC2CB8
pEfxAPI: 0x1EC86F8
pTriAPI: 0x1EC8DE0
pEventAPI: 0x1EB75F0
pVoiceTweak: 0x1ED3F68
pPmove: 0x2D50A20
pEngstudio: 0x1EC8B58
pUserCmd: 0x2EDDA1C
pParams: 0x13FA08
__________________________
March 7, 2004
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1eceda0
pEventAPI: 0x1ebdb50
pTriAPI: 0x1ecf488
pNetAPI: 0x1ec92fc
pDemoAPI: 0x1eb42e4
pVoiceTweak: 0x1eda6c0
pPlayermove: 0x2d5b180
pEngstudio: 0x1ecf200
__________________________
March 24, 2004
Wrapper: 0x01EB1478
pEngfuncs: 0x01EB1270
pEngstudio: 0x01ECCE40
pPlayerMove: 0x02D56720
__________________________
April 03, 2004
Wrapper: 0x1EB2498
pEngFuncs: 0x1EB2288
pEngStudio: 0x1ECDE90
pPlayerMove: 0x2D57C60
LTFX Speedhack: 0x02805DE0
__________________________
April 29, 2004
pEngfuncs: 0x1eb2288
pEngstudio: 0x1ece010
pPlayerMove: 0x2d59f20
__________________________
June 2, 2004
Wrapper: 0x1EB34C0
pEngFuncs: 0x1EB32B0
pEngStudio: 0x1ECF0D8
pPlayerMove: 0x2D5B000
__________________________
June 07, 2004
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1eceda8
pEventAPI: 0x1ebdb58
pTriAPI: 0x1ecf490
pNetAPI: 0x1ec9304
pDemoAPI: 0x1eb42d4
pVoiceTweak: 0x1eda6c8
pPlayermove: 0x2d5b180
pEngstudio: 0x1ecf208
__________________________
June 14, 2004
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1ecec98
pEventAPI: 0x1ebdae0
pTriAPI: 0x1ecf380
pNetAPI: 0x1ec9254
pDemoAPI: 0x1eb42e4
pVoiceTweak: 0x1eda5a0
pPlayermove: 0x2d5b000
pEngstudio: 0x1ecf0f8
Sound ESP: 0x01D95CA0
__________________________
June 19, 2004
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1ecec98
pEventAPI: 0x1ebdae0
pTriAPI: 0x1ecf380
pNetAPI: 0x1ec9254
pDemoAPI: 0x1eb42e4
pVoiceTweak: 0x1eda5a0
pPlayermove: 0x2d5b000
pEngstudio: 0x1ecf0f8
__________________________
June 21, 2004
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1ececa8
pEventAPI: 0x1ebdad8
pTriAPI: 0x1ecf390
pNetAPI: 0x1ec9264
pDemoAPI: 0x1eb42c4
pVoiceTweak: 0x1eda5a0
pPlayermove: 0x2d5b000
pEngstudio: 0x1ecf108
Sound ESP: 0x01D95D20
__________________________
June 25, 2004
Wrapper: 0x1EB34C0
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1ececa8
pEventAPI: 0x1ebdad8
pTriAPI: 0x1ecf390
pNetAPI: 0x1ec9264
pDemoAPI: 0x1eb42c4
pVoiceTweak: 0x1eda5a0
pPlayermove: 0x2d5b000
pEngstudio: 0x1ecf108
__________________________
July 8, 2004
First Update
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1eceda0
pEventAPI: 0x1ebdb50
pTriAPI: 0x1ecf488
pNetAPI: 0x1ec92fc
pDemoAPI: 0x1eb42e4
pVoiceTweak: 0x1eda6c0
pPlayermove: 0x2d5b180
pEngstudio: 0x1ecf200
__________________________
July 8, 2004
Second Update
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1eceda0
pEventAPI: 0x1ebdb50
pTriAPI: 0x1ecf488
pNetAPI: 0x1ec92fc
pDemoAPI: 0x1eb42e4
pVoiceTweak: 0x1eda6c0
pPlayermove: 0x2d5b180
pEngstudio: 0x1ecf200
SlotsFX Ptr: 0x01A044A0
__________________________
July 22, 2004
SlotsFX Ptr: 0x01A179A0
__________________________
July 25, 2004
SlotsFX Ptr: 0x01A179C0
__________________________
August 11, 2004
Wrapper : 0x01EB34C0
pEngfuncs: 0x1eb32b0
pEfxAPI: 0x1eced90
pEventAPI: 0x1ebdb40
pTriAPI: 0x1ecf478
pNetAPI: 0x1ec92ec
pDemoAPI: 0x1eb42d4
pVoiceTweak: 0x1eda6b0
pPlayermove: 0x2d5b160
pEngstudio: 0x1ecf1f0
Studio Interface: 0x01ecf2b4
Sound ESP: 0x1d961d0
SlotsFX Ptr: 0x01A179D0
__________________________
June 7, 2005
SlotsFX Ptr: 0x01A179D0
Wrapper: 0x01EB54C8
pEngineFuncs: 0x01EB52B8
Studio Interface: 0x01ED14C4
pEngStudio: 0x01ED1400
PlayerMove: 0x02D5D9E0
Sound: 0x01D966F0
__________________________
August 8, 2005
pEngfuncs: 0x01EB72D8
pEfxAPI: 0x1ed3000
pEventAPI: 0x1ec1bf8
pTriAPI: 0x1ed36e8
pNetAPI: 0x1ecd55c
pDemoAPI: 0x1eb82fc
pVoiceTweak: 0x1edf068
pPlayermove: 0x2d5fce0
pEngstudio: 0x01ED3460
Slots: 0x01EB74E8
SlotFX Ptr: 0x01A179F0
Sound ESP: 0x1d96920
LTFX Slots: 0x0280BB60
__________________________
August 11, 2005
pEngfuncs: 0x01EB72D8
pEfxAPI: 0x1ed3000
pEventAPI: 0x1ec1bf8
pTriAPI: 0x1ed36e8
pNetAPI: 0x1ecd55c
pDemoAPI: 0x1eb82fc
pVoiceTweak: 0x1edf068
pPlayermove: 0x2d5fdc0
pEngstudio: 0x1ed34d0
Slots: 0x01EB74E8
SlotFX Ptr: 0x01A179F0
Sound Esp: 0x1D96AB0
LTFX Slots: 0x0280BB60
__________________________
September 15, 2005
First Update
Wrapper: 0x01EB74E8
pEngineFuncs: 0x01EB72D8
Studio Interface: 0x01ED35E4
pEngStudio: 0x01ED3520
PlayerMove: 0x02D5FE00
SlotFX Ptr: 0x01A179F0
SoundESP: 0x01d96b90
__________________________
September 15, 2005
Second Update
Wrapper: 0x01EB74E8
pEngineFuncs: 0x01EB72D8
Studio Interface: 0x01ED35E4
pEngStudio: 0x01ED3520
PlayerMove: 0x02D5FE20
SlotsFX Ptr: 0x01A179F0
SoundESP: 0x01D96BA0
__________________________
October 6, 2005
Wrapper: 0x01EB74E8
pEngineFuncs: 0x01EB72D8
Studio Interface: 0x01ED35E4
pEngStudio: 0x01ED3520
PlayerMove: 0x02D5FE20
SlotsFX Ptr: 0x01A179F0
Sound ESP: 0x1D96B80
__________________________
November 21, 2005
Wrapper: 0x01EB54C8
pEngFuncs: 0x1EB52B8
pEngStudio: 0x1ED1348
PlayerMove: 0x02D5FE20
Sound ESP: 0x02076948
SlotsFX Ptr: 0x01A179F0
Globaltime: 0x02804FE0
__________________________
November 29, 2005
Wrapper: 0x01E894C8
pEngFuncs: 0x01E892B8
pEngStudio: 0x01EA5380
PlayerMove: 0x2D3CA00
Sound ESP: 0x01d96b70
SlotsFX Ptr: 0x01A179F0
Globaltime: 0x027DAB80
__________________________
December 8, 2005
pEngFuncs: 0x01e89298
pEngStudio: 0x01ea50b8
pPlayermove: 0x02D2C740
pEventApi: 0x1e937e8
Slots: 0x01e894a8
Slots FX Ptr: 0x01a179f0
Sound: 0x01D96a60
Sound base: 0x0204c228
Globaltime: 0x027DA8C0
__________________________
March 9, 2006
pEngFuncs: 0x01e89298
pEngStudio: 0x01ea50b8
pPlayermove: 0x02D2C740
pEventApi: 0x1e937e8
Slots: 0x01e894a8
Slots FX Ptr: 0x01a179f0
Sound: 0x01D96a60
Sound base: 0x0204c228
Globaltime: 0x027DA8C0
__________________________
March 12, 2006
pEngFuncs: 0x01E882A8
pEngStudio: 0x01EA41C8
pPlayermove: 0x2D2B8E0
Slots: 0x01E884B8
Slots FX Ptr: 0x01A179F0
Sound: 0x01D96BC0
Sound base: 0x0204B3C0
Ltfxspeed: 0x027D9A60
__________________________
October 25, 2006
pEngFuncs: 0x01E882A8
pEngStudio: 0x01EA41E0
pPlayermove: 0x02D2B5C0
Slots: 0x01E884C0
Slots FX Ptr: 0x01A179F0
Sound: 0x01D96BD0
Sound base: 0x0204B0D0
Ltfxspeed: 0x027D9740
__________________________
March 05, 2007
pEngFuncs: 0x01EA2A90
pEngStudio: 0x01EBEED0
pPlayermove: 0X02D59EE0
Slots: 0x01EA2CA8
sound: 0x01DA2E60
CS Slots FX Ptr: 0x01A1BD40
DOD Slot/Retart Pointer = 0x019F3770
pEfxAPI: 0x1ED3000
pEventAPI: 0x1EC1BF8
pTriAPI: 0x1ED36E8
pNetAPI: 0x1ECD55C
pDemoAPI: 0x1EB82FC
__________________________
March 08, 2007
pEngFuncs: 0x01EA0A08
pEngStudio: 0x01EBC978
pPlayermove: 0x02D590A0
Slots/Location: 0x01EA0C20
CS Slots FX Ptr: 0x01A1BD40
DOD Slot Pointer: 0x019F3770
Sound: 0x01DA0560
Globaltime: 0x02807220
LTFX Slots: 0x01EA0C20
pPinterface: 0x019E67D0
pEfxAPI: 0x01EBC518
pEventAPI: 0x01EAB010
pTriAPI: 0x01EBCC00
pNetAPI: 0x01EB6A04
pDemoAPI: 0x01EA1A24
pVoiceTweak: 0x01EC8348
Export Table: 0x02F6A940
__________________________
Sept 12, 2007
pEngFuncs at 0x01ECCB00
pEngStudio at 0x01EE8FC0
pPlayerMove at 0x02D82500
pPlayerInterface at 0x01EE9084
pParams at 0x012FA24
LTFX Slots at 0x01ECCD18
SlotsFX Pointer at 0x01A1BD40
GlobalTime at 0x02830680
OGC SoundESP at 0x01DA3400
pNetapi at 0x01EE2FD8
pUserCmd at 0x02F0F8D0
Export Table at 0x02F93DA0
____________________
EDITO: para comentar que el post fue ideado por fx-illusionz y el listado de offsets por campstaff
#14
Ingeniería Inversa / borrado de PE header
6 Enero 2008, 05:18 AM
hola quisiera saber y si me explicaran sobre el borrado de la cabesera del PE, yo lo que necesito es un code para agregar al de un chit para poder hacerlo indetectable, pero si me explican como puedo hacer este borrado se los agradezco