CallAPIByName usando solamente rtlMoveMemory

[cobein]

Bueno, un dia despues de muchas birras se me ocurrio la genial idea de hacer un CallAPIByName usando solamente rtlMoveMemory, hasta ahi todo genial... pero bueno despues de pelarme el 0r70 por varias semanas intentando resolver diferentes problemas logre hacerlo funcionar! =D

Usa un monton de magia negra para resolver diferentes cosas ... pero en fin funciona o eso creo.
Testeado en XP y Vista compilado en P-Code y Codigo Nativo.

http://www.advancevb.com.ar/wp-content/2009/06/Call-API.rar

[el_c0c0]

muy bue aporte cobein.. siempre fumando de la buena para llegar a esto...


offtopic: XD con tu firma!

[Karcrack]

Funciona perfectamente A ver si luego puedo revisarlo en W7... por lo visto en Vista dicen que falla


Por cierto, te quedo muy bien el rediseño de tu web

Saludos

[cobein]

Si, en realidad no falla en vista, falla ... la verdad no lo testie demasiado pero cuando llamas a cualquier funcion que involucre memoria... en realidad creo que es cuando pasa un puntero como byref. Pero vuelvo a repetir no estoy seguro, me tengo que poner a debuguear esto de a poco. Estoy seguro que el problema esta en en el ASM de la funcion Invoke.

[Karcrack]

He estado probando códigos que usan la memoria... (Aquel que hice para sacar el Path del PEB) que usa GetMem1 y CallWindowProc y funciona perfecto... a ver si encuentro algún código que use RtlMoveMemory por aquí...


MOD1:
Vale, el problema esta por lo visto solo al usar RtlMoveMemory (Lo prove con el codigo de HideDLL de Cobein)... voy a ver por que
MOD2:
Vale, el problema es que llamas a la posición de la cadena "NTDLL.RtlMoveMemory"



MOD3:
Como tu decías el problema esta en el código que metes en zDoNotCat... A ver si puedo debuggear ahí

¿SOLUCION?:Cambiar el CALL relativo por PUSH XXXXXXXX + RET o MOV EAX, XXXXXXXX + JMP EAX

Saludos

PD:Cuantos MODs NO?

[Karcrack]

SOLUCION:

Reemplazar la funcion CallAPI por esta:

Código (vb) [Seleccionar] Expandir


Public Function CallAPI(ByVal sLib As String, ByVal sMod As String, ParamArray Params() As Variant)
    Dim lLib        As Long
    Dim lMod        As Long
    Dim cParams     As New Collection
    Dim i           As Long
   
    If (sMod Like "Rtl*Memory") = True Then sLib = "NTDLL"
   
    lLib = LoadLibrary(sLib)
    If Not lLib = 0 Then
        lMod = GetProcAddress(lLib, sMod)
        If Not lMod = 0 Then
            For i = 0 To UBound(Params)
                cParams.Add Params(i)
            Next
            CallAPI = Invoke(lMod, cParams)
        End If
    End If

End Function

El problema reside en que las funciones de memoria que hay en KERNEL32 dan problema... pero en cambio las de NTDLL que son IGUALES no lo hacen.... asi que bueno, cuando es una funcion de memoria simplemente se cambia la DLL y asi funciona...

Esta es una solucion chapucera hasta que Cobein encuentre el verdadero error...que imagino que esta en el EP de KERNEL32, ya que al Olly le pasa parecido cuando cargas solo la DLL

Saludos

[Arkangel_0x7C5]

no es un error, a GetProcAddress también le pasa eso. La solución si te fijas es buscar el '.' para saber de que dll es y hacer otra llamada con los datos correctos. yo tengo la solución, pero este no es el lugar para colocar el code.

Saludos

[cobein]

Sep tienen razon, ya corregi el getprocaddress, es por las funciones forwardeadas pero ya lo arregle. Cuando termine de testear todo lo subo.

[Swellow]

Can anyone reupload this please?

[scapula]

http://cobein.com/wp/wp-content/2009/06/Call-API.rar