Зачем? Слава малваре кодера - дурная слава, если у тебя есть выбор, то не делай этого.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
- Автор темы
- Добавить закладку
- #282
Бро, здоров. Не дропнул и не дропну, задачи решаю по асс
- Автор темы
- Добавить закладку
- #283
Ну то что офигел, мягко говоря, это факт)
Я вчера дочитал до ознокомления с линуксом, повторял ли ты за книгой работу с командой строкой? И сильная ли математика требуется для понимания примеров и задач из его книг?
- Автор темы
- Добавить закладку
- #285
С линуксом знал уже как работать, повторял, математику там дадут немного в первом томе, пока не дошёл до места, где прям кровь из носа нужна была математика. А так можешь сразу повторять как переводить цифры из десятеричной системы в шестнадцатеричную , двоичную и тд. Про заемы, переполнения тоже
DildoFagins глянь, https://github.com/gmh5225/FakeEnclave
Помнится тебе нравилась тема с анклавами.
зы - У него личка закрыта, потому тут. Сорри за оффтоп.
Помнится тебе нравилась тема с анклавами.
зы - У него личка закрыта, потому тут. Сорри за оффтоп.
Около года назад пробовал использовать стандартные виндовые API для онклавов из UM, после небольшого гемора с CreateEnclave написал проверку.
В итоге оказалось, что мое железо поддерживает только VBS-онклавы и я забил болт. Хотя не совсем забил. Попробовал еще раз на VBS-онклаве как это понял из документации.
И вот уже где-то тут я забил болт на SGX-онклавы.
C:
BOOL IsEnclaveSupported(DWORD Type)
{
BOOL retVal = FALSE;
switch (Type) {
case ENCLAVE_TYPE_SGX:
retVal = IsEnclaveTypeSupported(ENCLAVE_TYPE_SGX);
printf_s("ENCLAVE_TYPE_SGX supported & retVal = %d\n", retVal);
break;
case ENCLAVE_TYPE_SGX2:
retVal = IsEnclaveTypeSupported(ENCLAVE_TYPE_SGX2);
printf_s("ENCLAVE_TYPE_SGX2 supported & retVal = %d\n", retVal);
break;
case ENCLAVE_TYPE_VBS:
retVal = IsEnclaveTypeSupported(ENCLAVE_TYPE_VBS);
printf_s("ENCLAVE_TYPE_VBS supported & retVal = %d\n", retVal);
break;
case ENCLAVE_TYPE_VBS_BASIC:
retVal = IsEnclaveTypeSupported(ENCLAVE_TYPE_VBS_BASIC);
printf_s("ENCLAVE_TYPE_VBS_BASIC supported & retVal = %d\n", retVal);
break;
default:
printf_s("Error! Unknown enclave type!\n");
}
return retVal;
}В итоге оказалось, что мое железо поддерживает только VBS-онклавы и я забил болт. Хотя не совсем забил. Попробовал еще раз на VBS-онклаве как это понял из документации.
C:
LPVOID CreateEnclaveWrapper(SIZE_T dwSize, DWORD EnclaveType)
{
LPVOID Enclave;
DWORD EnclaveError = 0;
SIZE_T EnclaveInfoSize;
ENCLAVE_CREATE_INFO_VBS EnclaveInfo = { 0 };
EnclaveInfoSize = sizeof(EnclaveInfo); // asume 4096
HANDLE Proc;
ULONG err;
LPVOID Mem;
Proc = GetCurrentProcess();
if (IsEnclaveSupported(EnclaveType)) {
Enclave = CreateEnclave(Proc, 0, dwSize, 0, EnclaveType, &EnclaveInfo, EnclaveInfoSize, &EnclaveError);
if (Enclave != NULL)
{
printf_s("Enclave addr: %p\n", Enclave);
// We cant' dump enclave memory here, because it's not initialized
}
else
{
printf_s("ERROR\n");
}
Mem = VirtualAlloc(Enclave, dwSize, MEM_COMMIT, PAGE_READWRITE);
if (Mem)
{
printf_s("Enclave allocation address = %p\n", Mem);
HexDump(Mem, 0x100);
}
else
{
err = GetLastError(Mem);
printf_s("Error = %d\n", err);
//
}
}
}И вот уже где-то тут я забил болт на SGX-онклавы.
Ого, человеческие ассемблерные вставки в 64. Правда непонятно зачем использовать асм для получения базы ядра в контексте ring 0, если для этого есть ZwQuerySystemInformation с классом SystemModuleInformation.
Код с использованием KeStackAttachProcess в данном случае может вызывать "мертвые замки" при получении vad. Мелкие не рекомендуют сложные вызовы вставлять между KeStackAttachProcess и KeUnstackDetachProcess, коим является MiObtainReferencedVadEx. Хотя что тут говорить, весь код это практически андок, инжект текущего потока в адресное пространство целевого процесса, манипуляции с недокументированными флагами VAD структуры. На 11 венде этот код уже не будет работать, потому что структура изменилась и поля Enclave, Graphics убрали или перекочевали куда-то еще.
Код:
lkd> dt nt!_MMVAD_SHORT u.VadFlags.
+0x030 u :
+0x000 VadFlags :
+0x000 Lock : Pos 0, 1 Bit
+0x000 LockContended : Pos 1, 1 Bit
+0x000 DeleteInProgress : Pos 2, 1 Bit
+0x000 NoChange : Pos 3, 1 Bit
+0x000 VadType : Pos 4, 3 Bits
+0x000 Protection : Pos 7, 5 Bits
+0x000 PreferredNode : Pos 12, 7 Bits
+0x000 PageSize : Pos 19, 2 Bits
+0x000 PrivateMemory : Pos 21, 1 BitПодробнее пожалуйста, чем они вам понравились?
Он просто привык так.
Сам концепт все же жив и требует допила по 11ую? Или как?
Эти API есть в kernel mode? Мы же в контексте KM рассматриваем код.
В чем проблема получить информацию только о необходимом.
Они человеческие, как в D и как были в msvc для x86. Синтаксис в других компиляторах мне лично не нравится.
Скорее требует допила, но в инете подобного кода полно можно найти и лучше написанного.
Дело не в привык не привык, а в том, что подобный код - это потенциальный генератор бсодов, почему не использовать легитимную функцию.
P.S. Кажется пора создавать в разделе обсуждение режима ядра и всего с этим связанного.
Последнее редактирование:
Привет. Хорошо у меня. Кодю на фасме и помимо этого изучаю иду с алгоритмами.
"Грокаем алгоритмы" -- отличное чтиво для изучения вопроса.
Где можно подробнее изучить syscalls ?
А что их изучать? Вот почитай например https://xss.pro/threads/43097/
Если софт читает что-то из файла , сокета или еще откуда, оно происходит примерно так. Любая функция (fread , read, и так далее) сводится к вызову ReadFile из kernel32.dll. В свою очередь ReadFile обращается к NtReadFile из ntdll.dll, внутри которой будет код вида
Код:
mov eax,123
sysenter
ret
Последнее редактирование:
Может уже поздно на это отвечаю, но я уверен ключ к тому, что люди используют для малвари более современные языки программирования в их легкости. Ведь вода течет по пути наименьшего сопротивления. Проще написать стиллер на питон например, чем на С, пусть он и посредственного качества будет. Хотя качество таких людей я думаю мало волнует. В глазах обывателя «питон я уже знаю, а С то учить надо!! А нахера? Чтобы тот же самый стиллер написать. Да нафиг этот С, напишу на питоне»)
Я думаю так: чем ниже по уровню язык тем лучше писать малварь, в ниже С уже непонятно что можно придумать разве что ассемблер наверное.
Да, ассемблер. Те же сисколы, на Си или тем более на питонах не реализовать.
Сейчас в тему придут люди и скажут тебе, что на питоне качество будет лучше, ведь нет утечек памяти и удобная работа со строками!
Так-так, я бы попросил:
Код:
import ctypes
libc = ctypes.CDLL(None)
syscall = libc.syscall
syscall(39) # 39 = getpidНу так и есть в общем случае. Вообще, вопрос ко всем, ради интереса хотелось бы увидеть исходники действительно качественно написанной на Цэ и актуальной сейчас малвари. Посмотреть, к чему там можно придраться. А то код элитных Цэшников, которые элитно пишут на Цэ без ошибок, это как единорог, вроде все хотят, чтобы он существовал, а вспомнить, где его видели, мало кто может. Только прям большой проект, а не выдержки из сотни строк. Посмотреть там, как там архитектура построена без абстракций, и тд. Есть чего поглядеть на досуге? Кидайте ссылки.
Именно актуальной сейчас? Зевс не подойдет? Там конечно плюсы, но плюсы такие, "си с классами". Carbanak еще норм, но опять же, там не Си. Если чисто сишный, то buhtrap.
Абсолютное большинство выложенной в паблик малвари на плюсах, но какие там плюсы - от плюсов взяты одни неймспейсы, изредка элементы ООП (1-2 класса), а так Си.
И к чему он пришел, без понимания основ? Я не призываю всех кодить на ассемблере, 64 битный асм довольно таки геморный, но понимание должно быть.