• XSS.stack #1 – первый литературный журнал от юзеров форума

Перенаправление ввода вывода в селф процессе

xChimera

Malware...
Пользователь
Регистрация
19.08.2024
Сообщения
778
Реакции
552
Гарант сделки
2
Депозит
0.0282
Пишу лоадер который посредством лоадпе запускает в себе пе файл, который может что то пытаться печатать в консоль

Задача получить в буфер то, что попытался вывести загруженный пе файл в консоль

Пе файл может иметь несколько потоков, потому с хвбп здесь сложности + проблемы совместимости если приложение тоже использует хвбп

Печатать возможна следующими способами:

kernel32 WriteConsoleA/W
kernelbase WriteFile
ntdll NtWriteFile

printf и прочие функции из msvcrt можно перенаправить на вывод в файл при помощи freopen, но это не совсем то, что мне нужно

Прямой хук на NtWriteFile работает - но это палевный костыль

Хук еат\иат много пользы не дает

SetStdHandle \ изменение в пебе ручками так же не меняет результат

Если у кого есть идеи как это более грамотно реализовать - буду благодарен
 
Решил проблему - были кривые функции для хука

Хукнул:

EAT msvcrt: putc, fputc, putwc, fputwc
IAT kernel32: WriteConsoleA, WriteConsoleW, NtWriteFile, RtlExitUserProcess
EAT ntdll: NtWriteFile
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх