Problemas al obtener direcciones de funciones

[[escafandra]]

Entiendo. He hecho pruebas y puedo inyectar una dll en el evento OnCreateProcess:

void Debug::OnCreateProcess(DWORD processId, DWORD threadId, CREATE_PROCESS_DEBUG_INFO const & createProcess)
{
     InjectDll(createProcess.hProcess, "project4.dll");
    //........................
}

Pero debes eliminar la espera al thread:

WaitForSingleObject(hThread,INFINITE);

Pues al estar en modo debug no continuará el hilo de forma normal y te para el deguger.


Saludos.

[aguml]

bueno, despues de darle vuelta he pensado que me estaba complicando la vida ya que al estar depurando puedo usar VirtualAllocEx para añadir espacio y simplemente coloco alli lo que yo quiera ejecutar. Como las apis en cuestion las tiene que cargar de ntdll.dll pues pongo un condicional el cual cuando se cargue esa dll buscará esas apis y les pondra un bp al inicio. Por ultimo solo me queda que en el evento de los bps pues comprueve los parametros con los que entra y decidir si ejecuta la api o mi injerto. ¿Te parece buena esta solucion?

[[escafandra]]

Lo que pretendes es una inyección directa de código. No es tan fácil como puedas pensar en un primer momento porque hay que ser extremadamente cuidadoso con el código y cumplir ciertas reglas. Revisa estos enlaces:

Crear Shellcode en delphi
Shellcode en C compatible con distintas inyecciones


Saludos.

[[escafandra]]

He hecho pruebas en WinXP inyectando desde un programa depurador y no va bien la inyección hecha desde el evento OnCreateProcess, (en Win8 si me funcionó bien) sin embargo en el evento OnLoadDll me funciona en ambos S.O. Pruébalo.

He inyectado una dll de ejemplo con un Hook a la API MessageBox con éxito en la inyección y el Hook.


Saludos.

[aguml]

muy interesante pero lo cierto es que ya me he decantado por usar el debugger y sus eventos para solucionar los injertos y demas y de momento NtSetInformationThread ya está solucionada. Lo que hice fue que cuando carga ntdll.dll guardo la direccion a esa api y luego, cuando me detengo en el entrypoint pongo un breakpoint en ella, y pongo un bp en esa api y espero a que pare en ella y cuando para en ella quito ese bp y llamo a la funcion que modifica el inicio de la api por un xor eax,eax y un retn 10. Con eso va perfecto. El problema lo tengo con la otra ya que uso un context para modificar los registros y me deja cambiarlos todos pero no sr que esta pasando que eip no se cambia y lo necesito para colocar el flujo de la ejecucion en la linea donde retorna de la api. ¿Sabes que puede ser? Uso lo mismo para modificar todos los registros y solo falla con eip. Cuando solucione este fallo podre cambiar tambien lo que hice con ntsetinformationthread ya que podria poner a cero eax usando el context, realinear la pila usando esp, y posicionar el flujo usando eip y seria lo mismo pero sin modificar la dll.

[[escafandra]]

Ahora no puedo hacer pruebas pero fíjate que en este enlace en la función InjectST cambio el eip, como tu pretendes, sin problemas tras suspender el hilo, para reanudarlo después.


Quizás sea más sencillo con una dll y hooks pero si lo consigues sin ello es perfectamente válido.


Saludos.

[aguml]

pues tengo que revisar esto: Context.ContextFlags = CONTEXT_CONTROL;
 Que igual no tengo puesto eso y por eso no funciona.