Mensajes

bueno, que yo sepa, el RawSize es lo que ocupa cada sección en el archivo incluyendo los ceros. y el VirtualSize es lo que ocupa una vez cargado en la memoria ram.

Hacker_Zero izo un code para ampliar una sección, igual te sirve

Pero no entiendo un carajo, porqué así funciona? se supone que así está mal  . Osea el SizeOfImage original es 5000 entonces al aumentar 200 pos lo aumente 200, pero entonces peta (Creo que ya sé por que es  ). El virtual addres de la sección que viene después igual  . Y el puntero a la tabla de importaciones también, para que funcione hay que dejarlo como estaba, pero si lo moví 200 posiciones, que pasa? Lo único que se me ocurre es que funcione pero esté mal, que esos 0x200 que agregué no se carguen en memoria entonces las direcciones coinciden  .

Saludos

Si eso te resulta raro es porque no has visto la SSDT Shadow. hace honor a su nombre. todo apunta a donde esta. Pero cuando vas a mirarla no esta asignada en la memoria.

Saludos

a mi no me va ninguno, los dos son diferentes. pero no tienen modificada la tabla de secciones. esta modificada la cabecera PE.

Hay que cambiarle SizeOfRawData y PointerToRawData

Saludos

yo me referia a que por ejemplo:

.text
base 0x400

.data
base 0x200


idata
base 0x600

No se lo que podra ser.

Lo mirare con el EditorHex

saludos

una pregunta, ordenas los datos de las secciones. Esque el orden en el que estan en la cabecera no tiene porque ser el mismo que en el exe.


saludos
PD:Yo estabas haciendo ese code ahora en asm. ya casi esta. Lo pongo en un rato

lo crudo del DeepFreze es que tiene el control del hdd y nunca escrives en el. Por eso da igual lo que borres del systema. Siempre volverá a estar si no desactivas el deepfreze. y si consiguieras pararlo y no restauras el registro de manera adecuada conseguiras una bonita BSOD cada vez que enciendas.

Saludos

pero eso necesitarías volver a cargar el sistema ya que con el sistema descargado no podrías hacer mucho, y necesitarías de un driver para cancelarlo. Porque que yo sepa no hay apis para eso.

Saludos

eso me gustaria verlo sin procesos, sin consultar en el registro o cero informacion del av. no creo , bueno habra que esperar. mmm mi av killer termina todos y absolutamente todos los avs.

Todavía estoy desarrollando el concepto... teóricamente es posible... luego vienen los problemas claro...

Tu AV Killer utiliza los nombres de procesos y las Keys del registro que almacenan el Path?

cual seria esa teoria?

Saludos

Es "acojonante" (como dice un amigo)  ver como puedes detener facilmente un antivirus desde "sc" o desde "net", detener el servicio, eliminarlo del arranque y ya.

No se si habrá algún antivirus que deniege la detención del servicio aunque es dificil ya que si eres admin y no puedes detener un servicio propio de tu pc entonces pierdes el control y tendrias que pasar a system cosa que ahora desde xp es muy fácil de hacer.

El nod32 v4 no se deja matar asi y el karpesky tampoco. habra mas pero yo solo se esos. La forma de matarlos es quitando los hook en las apis de terminar procesos

Saludos

prueba con una virtual, si es tu programa pasara tambien en la virtual. aunque me extraña. no estas usando drivers ni nada para prodicir una BSOD.

Saludos