ReverseCraft

Video Details

ReverseCraft #7 - Inline hooks, DLL injection

Czas trwania:
67 minut (opublikowano 2009-12-05)

Credits:
Autor: Gynvael Coldwind
Intro: Sebastian "Xa" Rosik (grafika) i Samlis Coldwind (dźwięk)

Opis:
Siódmy odcinek ReverseCraft, w którym prezentuje połączone techniki DLL injection oraz inline hooks.

Linki do video:

UW-Team.org (flash player/download)
Vimeo (flash player/download)

Materiały:

Slajdy - slajdy użyte w videoarcie
Lista ćwiczeń - lista ćwiczeń dla osób zainteresowanych; rozwiązania można wysyłać mi na e-mail (potem zrobię do tego odpowiedni panelik), w celu weryfikacji/pochwalenia się/innym (e-mail: michael MAŁPA hispasec KROPKA com); gdybym nie wysłał potwierdzenia odbioru w ciągu 5 dni, proszę o przypomnienie / kontakt w celu sprawdzenia co się stało
Kod źrodłowy i binarki - kod źródłowy oraz binarki stworzone podczas tego odcinku

Informacje uzupełniające:

Przy testowaniu hooka należy pamiętać, że trzeba sprawdzić jak wygląda początek funkcji msvcrt.puts na swoim systemie, i następnie poprawić kod przywracający środowisko (tj. te dwa pushe nadpisane skokiem) w hook_wrapper w hook.c.

Kompilacja:

g++ inject.cpp -o inject.exe

gcc hook.c -c -masm=intel

dllwrap hook.o -o hook.dll

Inne często używane trampoliny:

push ADRES; ret

call ADRES_RELATYWNY

jmp ADRES_RELATYWNY

mov eax, ADRES; jmp eax

jmp short ADRES_TRAMPOLINY; ...

(dwustopniowa trampolina, gdy możemy użyć 2 bajty, ale w pobliży jest trochę miejsca na resztę kodu)

Materiały o których wspominam:

The Complete Pentium Instruction Set Table - podręczna lista instrukcji i opcode'ów procesora x86 (aka opcodes.txt lub pentium.txt)
Funkcje typu "naked" w gcc/g++ - post na moim blogu o tworzeniu funkcji bez prologu/epilogu w gcc/g++

Warto przeczytać:

One safe hook handler - E8 Method by David Reguera García

Użyte narzędzia:

MinGW GCC - kompilator C/C++ (gcc/g++), linker do tworzenia DLLek (dllwrap)
OllyDbg 1.10 - trochę już podstarzały, ale nadal dający radę, darmowy debugger pod Windowsa
Immunity Debugger - tego co prawda nie używałem, ale jest to godny polecenia debugger oparty o silnik OllyDbg
IDA Pro - najlepszy istniejący interaktywny disassembler (również w wersji freeware, niestety jest to starsza edycja)
Total Commander - świetny i bardzo wygodny menadżer plików pod systemy z rodziny Windows

Video Tutorials

ReverseCraft:

ReverseCraft #1 - Pilot - odcinek pilotażowy, w którym prezentuje przykładową analizę i modyfikację prostej aplikacji
ReverseCraft #2 - Podstawy budowy plików PE - odcinek drugi, w którym zaczynamy poznawać Windowsowe 'exeki'
ReverseCraft #3 - Pamięć, proces i PE - odcinek trzeci, w którym pokazuje co znajduje się w pamięci procesu
ReverseCraft #4 - Narzędzia i analiza - odcinek czwarty, w którym prezentuje różne narzędzia wykorzystywane w różnych momentach analizy
ReverseCraft #5 - Packery - w piątym odcinku prezentuje zasadę działania packerów/protektorów plików wykonywalnych, oraz pokazuję jak stworzyć bardzo prosty programik szyfrujący pierwszą sekcję exeka
ReverseCraft Assembler #1 - Bliżej systemu... - odcinek pilotażowy nowej serii ReverseCraft, o assemblerze (a w przypadku tego odcinku - o podstawach assemblera), którą będę rozwijał równolegle do oryginalnej serii
ReverseCraft #6 - OEP i zrzuty pamięci - odcinek szósty, w którym poruszam problematykę lokalizacji OEP (oryginalnego punktu wejścia) oraz omawiam kolejne narzędzia do wykonywania zrzutów pamięci
ReverseCraft Assembler #2 - Opcode - drugi odcinek serii o assemblerze, opowiadający o budowie pojedynczej instrukcji maszynowej x86, oraz o tym, jak wpływa to na budowę instrukcji w assemblerze
ReverseCraft #7 - Inline hooks, DLL injection - siódmy odcinek ReverseCraft, w którym prezentuje połączone techniki DLL injection oraz inline hooks
ReverseCraft #8 - Użycie obcego kodu - ósmy odcinek serii ReverseCraft, w którym prezentuje 4 metody wykorzystania/włączenia obcego kodu do swojej aplikacji
ReverseCraft Assembler #3 - EFLAGS, skoki - trzeci odcinek RA, tym razem o rejestrze flagowym EFLAGS, oraz o wpływie instrukcji arytmetyczno-logicznych na flagi tego rejestru, a także o wpływie flag na skoki i inne instrukcje warunkowe

Konsultacje

Dla zainteresowanych przygotowałem konsultacje/korepetycje/osobiste lekcje z:

podstaw reverse engineeringu
programowania w C/C++/Asm x86
podstaw security (webhacking, vulnerability research / exploiting, inne)
oraz innych pokrewnych tematów

Cenę starałem się dobrać tak aby zadowolić większość (a jak wiadomo to jest niełatwe ;>) i obecnie wynosi ona 40zł za godzinę. Konsultacje odbywają się via dowolny, z góry ustalony komunikator audio/video, który uda nam się zmusić do działania (np. Skype), w ustalonym przez nas terminie.

Proponowane przeze mnie terminy konsultacji to:

Poniedziałki, godz. 20:00 do 22:00 (2 x 1h, lub 2h pod rząd)
Środa, godz. 15:00 do 17:00 (j/w)
Piątek, godz. 17:00 do 19:00 (j/w)

Szczegóły oraz więcej informacji można znaleźć na moim blogu. Dodam iż sporą część funduszy zebranych w ten sposób planuje przeznaczyć na rozwój projektu ReverseCraft ;>