[HaBo]

Xalon

Hier der Link:
http://wiki.hackerboard.de/index.php/Windows_API

Xalon

P.S: Danke an Gulliver fürs Probelesen und an NeonZero,dafür das er es ins Wiki gestellt hat.

TjP

Vielen Dank!

p-Logic

Wirklich gut geworden!

Das einzige, das mich etwas verwirrt hat, war:
Ich fänds hier passender, wenn der Kommentar in Klammern dahinter stehen würde, da der Text nicht formatiert ist, aber ist mehr oder weniger egal

Ich würd mich über mehr Tuts dieser Art freuen.

blobbo

Wow sehr gut
Sehr interessant!
Werds wohl morgen nochmal lesen aber ist sehr gut gemacht.

Und was kann man jetzt dagen tun?
Das würde mich noch sehr interessieren!
Bzw wie kann den ein gut geschriebener Trojaner dann überhaupt noch gefunden werden?

adrian90

Im abgesicherten Modus oder mit Knoppix. Der Trojaner oder seine Schutzfunktion darf einfach noch nicht gestartet worden sein. Du kannst auch die Festplatte in einen anderen Computer einbauen.

Um da zu programmieren, empfehle ich, VMWare oder ähnliches zu verwenden, da sonst am Anfang vermutlich dauernd ein bisschen der Computer abstürzt.

CDW

naja, mittels eigener Hooks die Routinen, die zum Injecting genutzt werden, überwachen - oder gleich in den Kernel einsteigen. K.A wie ZA es inzwischen macht, aber Tiny PFW hatte noch "vor kurzem" die ApiHookingMethode drin - sie injezierte in jeden Process eine eigene DLL und hookte die gefährlicheren, so dass sie gefiltert werden konnten. Natürlich konnte das wiederum mit ein bisschen Code umgangen werden *räusper* http://www.google.com/search?hl=de&i...che&lr=lang_de

Was Kernelhooking angeht: die entsprechenden Treiber müssten ganz vorne "mit dabeisein" . Hat man dabei eine Kleinigkeit übersehen oder falsch implementiert (oder MS verändert bei einem Update etwas an der Struktur oder oder) leidet die Stabilität des Systems darunter.

__________________
Noch mal, für alle Pseudo-Geeks: 1+1=0. -> 10 wäre Überlauf!
Selig, wer nichts zu sagen hat und trotzdem schweigt.

Xalon

Außerdem kann man testen ob das erste Byte einer Funktion 0xE9 ist
Klappt zwar nicht immer aber immerhin.

Xalon

heinzelJacKy

also erstmal, super tut is gut gelungen, erklärt den themenbereich recht ausfuehrlich.. wobei ich mir vorstellen kann, dass fuer nicht-c++-programmierer recht undurchsichtig ist, da ja alles auf deinem code aufbaut
was ich noch anmerken wollte: fuer die befehlslänge kann man auch nen length disassembler benutzen, den man ins progg einbauen kann und der die opcodes/opcodelängen liefert, die am anfang der gehookten funktionen stehen, dann spart man sich das gesocks mit ollydbg und muss die längen nicht hardcoden, was sowieso leicht zu problemen fuehrt, wenn die funktionen bei verschiedenen win-versionen unterschiedlich beginnen (vor allem bei kernel-hooks is da schnell mal die kacke am dampfen..)
hab length-disassembler allerdings bis jetz nur auf assembler gesehen, diverse viren/rootkits benutzen die ja auch (-->LDE32)
ansonsten super arbeit!

mfg

Xalon

Schön das es euch gefällt
Zum length disassembler:
Das wär eigentlich auch kein Problem sowas selber zu Coden man muss dem Programm nur
sagen welcher Befehl wie lang ist

Xalon

Mackz

Respekt! *thumbs up*

__________________
RL sux big time... auch 2010!

Deleting pr0n is like killing your best friend

[HaBo] bei Facebook - Werde Fan

Xalon

Sucht ihr noch nen Artikel für euer HaboMagazin?

Mackz

Haben wir darüber nicht neulich schonmal im IRC gesprochen? Oder war das jemand anderes?

Mit dem Mag habe ich nichts zu tun, dafür wende dich bitte mal an yp oder tcr (PN oder Mail oder im IRC) So wie ich das neulich verstanden habe, ist eine weitere Ausgabe das Mags allerdings fraglich, aufgrund zu wenig Artikel/Interesse.

Pers. würde ich es begrüßen, wenn enstpr. Artikel im Wiki veröffentlicht werden.

__________________
RL sux big time... auch 2010!

Deleting pr0n is like killing your best friend

[HaBo] bei Facebook - Werde Fan

Gulliver

[OT]
Vielleicht auch etwas wegen mangelnder Transparanz und fehlender Struktur?

Imho wuerde ein solcher Artikel das ganze mal um 200% aufwerten.


mfg

Xalon

Jap ins Wiki werd ichs stellen sobal ich Zeit dazu hab

Xalon

cr

Hab zwar mit Windows nichts zu tun aber trotzdem guter Text

Ack!