Adresse einer Funktion ohne @ ermitteln (evtl über CS:IP)

[OldGrumpy]

Ich vermute mal, Du kannst Dir zu einem laufenden Prozess ganz einfach die gerade ablaufende Exe holen, und da schauste dann einfach rein. In psapi.dll und imagehlp.dll sind ja die wesentlichen APIs drin und auch dokumentiert. Die MS-eigenen Exen könnten zudem digital signiert sein, die zu verändern dürfte dann einen ziemlichen Aufwand bedeuten

[Zacherl]

Zitat von OldGrumpy:

Ich vermute mal, Du kannst Dir zu einem laufenden Prozess ganz einfach die gerade ablaufende Exe holen, und da schauste dann einfach rein. In psapi.dll und imagehlp.dll sind ja die wesentlichen APIs drin und auch dokumentiert. Die MS-eigenen Exen könnten zudem digital signiert sein, die zu verändern dürfte dann einen ziemlichen Aufwand bedeuten

Ja die laufenden Exen kann man sich holen, nur was bringt mir das? Mh siehe mein letztes Edit: Injiziere ich meine Exe in eine MS Exe, bei der ich vorher die ImageBase angeglichen habe funktioniert die Sache wunderbar.

[OldGrumpy]

Irgendwie reden wir da wohl an einander vorbei. Du sollst nur folgenden Schritt zusätzlich implementieren:

Alt:
Setze Startadresse auf $00400000, kopiere Kram rüber und los geht's.

Neu:
Hole Startadresse aus dem Image der Exe in deren Prozess injiziert werden soll, kopiere Kram rüber und los geht's.

Wo ist denn da das Problem?

Edith sagt:
BaseAddress := VirtualAllocEx(ProcessInfo.hProcess, Pointer(NtHeaders.OptionalHeader.ImageBase), NtHeaders.OptionalHeader.SizeOfImage, MEM_RESERVE or MEM_COMMIT, PAGE_READWRITE); Da holst Du doch die Baseaddress, sorg einfach dafür, dass das die Base wird, die zur Ziel-Exe passt Im Code fehlt auch an etlichen Stellen Fehlerbehandlung, gerade Sachen wie VirtualAllocEx und VirtualProtectEx sollte man nicht in "fire and forget"-Manier benutzen sondern immer akribisch auch die Rückgabewerte checken.

[Zacherl]

Die Fehlerbehandlung mache ich später. Habe die Stelle jetzt so abgeändert, wobei Target das komplette Image von Notepad enthält.

Delphi-Quellcode:

BaseAddress := VirtualAllocEx(ProcessInfo.hProcess,
            Pointer(PImageNtHeaders(
            Cardinal(Target) + Cardinal(Windows.PImageDosHeader(Target).
            _lfanew))^.OptionalHeader.ImageBase),
            NtHeaders.OptionalHeader.SizeOfImage,
            MEM_RESERVE or MEM_COMMIT, PAGE_READWRITE);

Ergebniss: Notepad startet ganz normal Allerdings werden VirtualAllocEx, WriteProcessMemory und co korrekt ausgeführt. Vermutlich muss man noch irgendwas am EntryPoint feilen oder?

Sorry mein Fehler .. ne Notepad startet mit meiner MessageBox, aber wieder bekomme ich ERROR_BAD_EXE_FORMAT bei CreateThread.

[Apollonius]

Wenn du an den Problemen mit der Image-Base arbeiten willst, kannst du ja mal debuggen. Das geht relativ einfach, wenn du den Delphi-Debugger dazuschaltest und dann an einem definierten Punkt anhältst, indem du dort einm

Delphi-Quellcode:

asm
  int 3
end;

einbaust. Dann kannst du wenigstens mal schauen, ob die Thread-Funktions-Adresse korrekt auf den Stack gepusht wird und die globalen Variablen korrekt angesprochen werden (auch wenn du sagst, dass sie funktionieren, habe ich Bauchschmerzen dabei).

[Zacherl]

Ich kann den Prozess nicht debuggen. Weder mit Delphi noch mit OllyDbg ..

[Apollonius]

Wie hast du es denn probiert? Mit Run->Attach to process... ?

[Zacherl]

Genau. Es kommt nur der Fehler: "Vorgang kann nicht fortgesetzt werden" und Olly sagt Ähnliches: "Unable to attach the process notepad.exe".

[OldGrumpy]

Da wäre dann doch wohl der Moment gekommen, einen Kernelmode-Debugger zur Hand zu nehmen

[Zacherl]

Mhh nach was genau soll ich den suchen? Bzw welche Funktion sollte ich debuggen? Kernelmode Debugger für Vista? Gibts da schon was?