Los eliminaste de la IAT en ImpRec???
Si no los eliminas, van a aparecer de vuelta...
Si no los eliminas, van a aparecer de vuelta...
- Bienvenido a Test Foro de elhacker.net SMF 2.1.
Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.
#4901
Ingeniería Inversa / Re: Vuelve a reaparecer el código basura en la IAT
24 Junio 2011, 21:00 PM #4902
Ingeniería Inversa / Re: Encontrar un Password en Winrar si tengo el Archivo comprimido y sin comprimir
22 Junio 2011, 22:41 PM
Asi es, bruteforce es la unica forma.
#4903
Ingeniería Inversa / Re: Aplicación que copie mi crack y que lo sobre escriba en la ruta del programa?
21 Junio 2011, 23:10 PM
Coincido con mafo, usa Dup2 y listo...
#4904
Ingeniería Inversa / Re: rtcRandomNext es preciso saber el valor que retorna?
21 Junio 2011, 17:26 PM
Quizas esa parte aleatoria no se tenga en cuenta eln la comprobacion final....
Tendrias que reversear toda la funcion a ver quie sale.
De ultima, podrias hacer un bruteforce de esos valores para ver como va cambiando la cosa...
Tendrias que reversear toda la funcion a ver quie sale.
De ultima, podrias hacer un bruteforce de esos valores para ver como va cambiando la cosa...
#4905
Ingeniería Inversa / Re: Patcher / Loader en visual basic 6? algún code dando vueltas por ahí?
18 Junio 2011, 01:22 AM
Es que la secuencia de APIs que te han dado es la usada para hacerlo en cualquier lenguaje.
ReadProcessMemory, WriteProcessMemory y CreateProcess son las principales (en VB puedes usar Shell). Despues, quizas necesites de VirtualProtect si necesitas escribir en la sección de codigo del ejecutable.
Con IsBadReadPtr (y familiares) puedes determinar si una posicion de memoria se puede leer/escribir.
En fin.. Las APIs son esas, el lenguaje es lo de menos...
Como ayuda, te puedo indicar que leas las teorias 349 a 353 de la web de Ricardo Narvaja: http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/
Ahi veras como hacerlo en ASM. Por supuesto, esto es un loader-DEBUGGER. MUCHO mas potente que un loader simple. Si bien la diferencia es importante, con la misma diferencia te daras cuenta de como trabaja la cosa y asi podras hacer un loader simple en 2 patadas...
Saludos!
ReadProcessMemory, WriteProcessMemory y CreateProcess son las principales (en VB puedes usar Shell). Despues, quizas necesites de VirtualProtect si necesitas escribir en la sección de codigo del ejecutable.
Con IsBadReadPtr (y familiares) puedes determinar si una posicion de memoria se puede leer/escribir.
En fin.. Las APIs son esas, el lenguaje es lo de menos...
Como ayuda, te puedo indicar que leas las teorias 349 a 353 de la web de Ricardo Narvaja: http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/
Ahi veras como hacerlo en ASM. Por supuesto, esto es un loader-DEBUGGER. MUCHO mas potente que un loader simple. Si bien la diferencia es importante, con la misma diferencia te daras cuenta de como trabaja la cosa y asi podras hacer un loader simple en 2 patadas...
Saludos!
#4906
Ingeniería Inversa / Re: Diferencia entre attach y open file
17 Junio 2011, 00:14 AM
Entro todos los dias a mirar un poco, pero con escaso tiempo...
#4907
Ingeniería Inversa / Re: Diferencia entre attach y open file
16 Junio 2011, 21:02 PM
Si te attachas, el proceso ya esta corriendo, por lo que no podras parar nunca en el OEP con el fin de dumpearlo (claro, esto es al menos que no uses algun tipo de artilugio para que el EXE pare en el oep solito, como por ej. insertarle un jmp eip).
De todas formas, el attacheo es util cuando no puedes sortear las protecciones antidebug del inicio y si el packer no tiene antiattach, puedes debuggear el mismo en puntos que te sean necesarios, como por ej.: hacer click en algun boton, ingresar texto, etc.
De todas formas, el attacheo es util cuando no puedes sortear las protecciones antidebug del inicio y si el packer no tiene antiattach, puedes debuggear el mismo en puntos que te sean necesarios, como por ej.: hacer click en algun boton, ingresar texto, etc.
#4908
Ingeniería Inversa / Re: softice y frogsice
3 Junio 2011, 23:32 PM
Hola!
Todas las herramientas que necesites las puedes bajar desde aqui: http://ricardonarvaja.info/WEB/ (Solo desbes buscar
)
Ahora:
A ese Windows no lo conozco... (Son 64 los bits... 
)
Saludos!
Todas las herramientas que necesites las puedes bajar desde aqui: http://ricardonarvaja.info/WEB/ (Solo desbes buscar
)Ahora:
Cita de: server_linux en 3 Junio 2011, 21:05 PM
... tengo win 7 de 63 bits ...
A ese Windows no lo conozco...
(Son 64 los bits... )Saludos!
#4909
Ingeniería Inversa / Re: Decompilador para Visual Basic
3 Junio 2011, 20:59 PM
El mejor decompilador es el mismo que le da las ordenes a tus dedos para escribir el mensaje que has puesto...
Si la aplicacion esta en PCODE, usa VBDecompiler 7.6 (la version full, no la lite).
Saludos!
Si la aplicacion esta en PCODE, usa VBDecompiler 7.6 (la version full, no la lite).
Saludos!
#4910
Ingeniería Inversa / Re: Duda tutorial RicardoNarvaja
3 Junio 2011, 20:58 PM
Creo que estas confundiendo los temas.
Un programa en Visual Basic 6 (o 5) puede estar compilado de 2 formas: en codigo nativo o PCODE.
En codigo nativo vas a ver todo el codigo de la aplicacion en ASM (instrucciones x86).
Ahora, cuando esta en PCODE, las instrucciones no estan en ASM, estan expresadas usando instrucciones que ejecutara la maquina virtual (VM) de Visual Basic. La maquina virtual esta dentro de la libreria MSVBVM60.DLL (o bien MSVBVM50.DLL si es VB5).
Por eso es que ves que se llaman opcodes a los de ASM y a los de la VM de VB.
Ah! Cada instruccion a ejecutarse (ya sea por el procesador o por una VM) puede dividirs (normalmente) entre codigo de operacion (opcode) y operandos. El opcode es el identificador de la tarea que debe realizarse con los operandos. En MOV eax, ebx el opcode es el MOV. Lo mismo para instrucciones de una VM.
Un programa en Visual Basic 6 (o 5) puede estar compilado de 2 formas: en codigo nativo o PCODE.
En codigo nativo vas a ver todo el codigo de la aplicacion en ASM (instrucciones x86).
Ahora, cuando esta en PCODE, las instrucciones no estan en ASM, estan expresadas usando instrucciones que ejecutara la maquina virtual (VM) de Visual Basic. La maquina virtual esta dentro de la libreria MSVBVM60.DLL (o bien MSVBVM50.DLL si es VB5).
Por eso es que ves que se llaman opcodes a los de ASM y a los de la VM de VB.
Ah! Cada instruccion a ejecutarse (ya sea por el procesador o por una VM) puede dividirs (normalmente) entre codigo de operacion (opcode) y operandos. El opcode es el identificador de la tarea que debe realizarse con los operandos. En MOV eax, ebx el opcode es el MOV. Lo mismo para instrucciones de una VM.