الفريق العربي للهندسة العكسية
مشكلة تغيير العناوين في الذاكرة - نسخة قابلة للطباعة

+- الفريق العربي للهندسة العكسية (https://www.at4re.net/f)
+-- قسم : منتديات الهندسة العكسية - Reverse Engineering Forums (https://www.at4re.net/f/forum-4.html)
+--- قسم : الأسئلة والإستفسارات، حلول المشاكل و تبادل الخبرات - Expert Exchange Newbie Questions Answers (https://www.at4re.net/f/forum-36.html)
+--- الموضوع : مشكلة تغيير العناوين في الذاكرة (/thread-546.html)

الصفحات: 1 2

RE: مشكلة تغيير العناوين في الذاكرة - M!X0R - 07-02-2019

(07-02-2019, 01:13 PM)TITANIUM كتب : ممكن مثال كيفية عمل لودر يعتمد على البحث والاستبدال وعلى ماذا يعتمد في البحث ؟

يمكنك إنشاء اللودر عن طريق dUP او AP Patcher أو Abel Loader Generator أو Advanced Loader Generator 

كل هذه الأدوات الجاهزة وافية بالغرض أما بخصوص عن الشيء الذي يعتمد على البحث و الإستبدال 'Search & Repleace'

يعتمد على Hex Decimal  أي ترجمة أوامر الأسمبلي للعد العشري 

مثال:
لدينا
0040FB6A   .  3D 0B020000           CMP EAX,20B
0040FB6F   .  74 05                 JE SHORT 0040FB76
0040FB71   .  895D E4               MOV DWORD PTR SS:[EBP-1C],EBX
 Hex Decimal  الخاص بتلك الأوامر هو:
 
3D0B0200007405895DE4
و نريد تغيير تلك القفزة الشرطية إلى قفزة محققة دوما 

الكود السابق يصبح 
 
0040FB6A   .  3D 0B020000           CMP EAX,20B
0040FB6F   .  EB 05                 JMP SHORT 0040FB76
0040FB71   .  895D E4               MOV DWORD PTR SS:[EBP-1C],EBX
و Hex Decimal  السابق يصبح
 
3D0B020000EB05895DE4
و الأدوات التي ذكرتها في الأول تحتاج Hex Decimal   و كما تلاحظ لدينا عن ماذا نبحث و ماذا نستبدل 

Search
3D0B0200007405895DE4
Replace
??????????EB????????
أرجوا أن يكون كل شيء واضح  Smile

نسيت أوضح شي آخر هو أن يكون ما نبحث عنه بمثابة بصمة الأصبع اليسار في البرنامج

أي لا يوجد كود يطابقه في البرنامج حتى يعمل اللودر بشكل سليم

هذا و الله أعلم  victory


RE: مشكلة تغيير العناوين في الذاكرة - TITANIUM - 07-02-2019

(07-02-2019, 05:33 PM)M!X0R كتب :
(07-02-2019, 01:13 PM)TITANIUM كتب :  
يمكنك إنشاء اللودر عن طريق dUP او AP Patcher أو Abel Loader Generator أو Advanced Loader Generator 

كل هذه الأدوات الجاهزة وافية بالغرض أما بخصوص عن الشيء الذي يعتمد على البحث و الإستبدال 'Search & Repleace'

يعتمد على Hex Decimal  أي ترجمة أوامر الأسمبلي للعد العشري 

مثال:
لدينا
0040FB6A   .  3D 0B020000           CMP EAX,20B
0040FB6F   .  74 05                 JE SHORT 0040FB76
0040FB71   .  895D E4               MOV DWORD PTR SS:[EBP-1C],EBX
 Hex Decimal  الخاص بتلك الأوامر هو:
 
3D0B0200007405895DE4
و نريد تغيير تلك القفزة الشرطية إلى قفزة محققة دوما 

الكود السابق يصبح 
 
0040FB6A   .  3D 0B020000           CMP EAX,20B
0040FB6F   .  EB 05                 JMP SHORT 0040FB76
0040FB71   .  895D E4               MOV DWORD PTR SS:[EBP-1C],EBX
و Hex Decimal  السابق يصبح
 
3D0B020000EB05895DE4
و الأدوات التي ذكرتها في الأول تحتاج Hex Decimal   و كما تلاحظ لدينا عن ماذا نبحث و ماذا نستبدل 

Search
3D0B0200007405895DE4
Replace
??????????EB????????
أرجوا أن يكون كل شيء واضح  Smile

نسيت أوضح شي آخر هو أن يكون ما نبحث عنه بمثابة بصمة الأصبع اليسار في البرنامج

أي لا يوجد كود يطابقه في البرنامج حتى يعمل اللودر بشكل سليم

هذا و الله أعلم  victory

جزاك الله خيرا اخي, كل شيء واضح, طبعا اعرف برنامج dup لكن خاصية البحث والاستبدال تعرفت عليها من خلال شرحك المميز
طبعا برنامج dup لا ينفع في هذه الحالة, لأنه يقوم بتغيير القيمة مرة واحدة فقط, أما اللودر الذي برمجته يقوم بتغيير القيمة عن طريق timer كل 10 ثواني, حتى يعطي الاعلان مدة زمنية يفتح فيها.

عندما حاولت تطبيق العملية واجهتني مشكلة وهي ان القيمة Pattern المراد البحث عنها وتغييرها ,يوجد بها جزء متغير وهو المهم 
[صورة مرفقة: yHcBI4V.gif]

فهل هناك طريقة للبحث عن Pattern وفيها جزء متغيير؟

RE: مشكلة تغيير العناوين في الذاكرة - M!X0R - 08-02-2019

مكان الجزء الجزء المتغير  ضع
??


RE: مشكلة تغيير العناوين في الذاكرة - TITANIUM - 08-02-2019

(08-02-2019, 04:17 AM)M!X0R كتب : مكان الجزء الجزء المتغير  ضع
??

شكرا لكل من ساعدني في حل هذه المشكلة, وبالاخص الاخ M!X0R لك جزيل الشكر  rose
بارك الله فيكم