herm1t LIVE!ng room - Неэкспортируемые символы [entries|archive|friends|userinfo]
herm1t

[ website | twilight corner in the herm1t's cave ]
[ userinfo | ljr userinfo ]
[ archive | journal archive ]

Неэкспортируемые символы [Feb. 12th, 2016|02:01 pm]
Previous Entry Add to Memories Tell A Friend Next Entry
[Tags|, , , , , , , , ]
[Current Mood | thoughtful]

Давно и успешно использую следующий метод для поиска неэкспортируемых символов. Дизассемблируем код (linear sweep), линейно, хотя бы для того, чтобы убедиться, что код создан нормальным компилятором и в нем нет антиотладки. Отмечаем начало функций (все, что вызывется через call). Потом трейсим каждую функу рекурсивно и используем эвристики, такие как: использование констант (хорошо, если есть строки), определенный набор внешних функций или даже просто специфическую форму CFG. Странно, но нашел всего одно упоминание этого способа в нужном контексте, да и то без готового инструмента, а просто, как PoC. Так что и антивирусные приколы могут быть полезны, кто бы мог подумать. :-) Неожиданно, массовый софт - предельно стабилен и меняется медленно, так что "сигнатуры" (на control / data flow, не на инструкции) накрывают очень широкий диапазон версий.
LinkLeave a comment

Comments:
From:(Anonymous)
Date:February 15th, 2016 - 07:42 pm
(Link)
KITE мотор для этого предназначен.
[User Picture]
From:[info]herm1t
Date:February 15th, 2016 - 08:21 pm
(Link)
А где посмотреть?
From:(Anonymous)
Date:February 15th, 2016 - 08:26 pm
(Link)
Если там запаролено, то пасс vx должен подойти :)
[User Picture]
From:[info]herm1t
Date:February 15th, 2016 - 09:20 pm
(Link)
Спасибо. Скачал посмотрю. Не самая простая вещь для восприятия, так что свое мнение скажу позже.
From:(Anonymous)
Date:February 19th, 2016 - 08:42 pm

(Link)
Ну как, нашли что нибудь годное ?
[User Picture]
From:[info]herm1t
Date:February 19th, 2016 - 09:04 pm
(Link)
Еще не разбирался. Если вы позволите, то я вам скажу немного неприятное - с одной стороны, я вижу, что вы человек многоопытный и умный, но то, как вы представляете свою работу - это ужас, оно не годится ни для учебы, ни для использования, ни для вашего пиара. Смотрите. Если я хочу попиариться, то я говорю "я сделал то-то, у меня работает, а у вас нет", если я хочу кого-то научить, то "мы хотим сделать это и делаем раз. два. три.", если я хочу, чтобы моим пользовались, то я выкидываю движок и пишу к нему доки и юз кейсы. Тот код, который вы мне показали, я даже не знаю, как расшифровывается название "двигла", я не знаю, что оно делает, я не знаю, как это использовать. И так как аналогичные задачи у меня уже решены, то мне тупо лень "реконструировать" цели и алго из десятков страниц нечитабельного асма (который знать необходимо, но писать на нем - задротство). Простите, я попробую посмотреть еще раз, но не сейчас, мне еще нужно пару раз сказать svn ci. Без обид? :-)
From:(Anonymous)
Date:February 19th, 2016 - 09:30 pm

(Link)
Ну там же пдфка с описанием была. Хз что вас не устраивает и я не пиарюсь. Какой вы колючий ёжик :)
[User Picture]
From:[info]herm1t
Date:February 19th, 2016 - 10:10 pm
(Link)
Ушел курить pdf. :-) Ежик - факт, когда жрешь код до тошноты (от пыхпыха до ядра) - это естественное состояние. Не принимайте, главное, на свой счет. ;-)
From:(Anonymous)
Date:February 19th, 2016 - 09:48 pm
(Link)
Там от асма названия регистров как кто то сказал остались. Главное алгоритмы, ну а реализует кому на чём нравится. Я думал вам это интересно. Учитывая что проделана очень большая работа по разработке множества алго. Ну а асм для вас я думал не проблема.
Как то не приятно с вами общаться, не смотрел, не годится, но хуёво написано etc. Зачем тогда вести блог не понятно. Короче было очень приятно пообщаться.
[User Picture]
From:[info]herm1t
Date:February 19th, 2016 - 10:13 pm
(Link)
Не обижайтесь. Я в постоянном стрессе. Я просто не могу себе позволить заниматься байтоебством. Это недостаток, да. Мой. Может быть исправлюсь, а может быть и нет.
[User Picture]
From:[info]herm1t
Date:February 19th, 2016 - 10:25 pm
(Link)
Вы тоже "ежитесь" иногда "на отличненько" и это хорошо и нормально, проосто, нужно как-то определиться с желаниями. И не по всякому поводу в паблике, да.
From:(Anonymous)
Date:February 20th, 2016 - 07:21 am
(Link)
Бывает у меня, но редко и под веществами :)