الكود المكتوب أعلاه الآن يمثل "الأوامر" التي يقوم بها البرنامج. يبدو أن دالة EnumChildWindows التي تقوم بتمرير handle النوافذ الجزئية إلى الدالة f لا تتبع دائما نفس الترتيب وهذا يؤدي إلى نتائج متباينة...
أوضّحُ عملية التحقق التي اتبعها.
للتأكد من أن المكتوب يقوم حقا بما يقوم به البرنامج قمت بإلغاء السطر 22 من الكود المكتوب وإضافة السطرين 21 و 20 وفي هذه الحالة نحصل على عدد من الملفات كل منها اسمه يتضمن handle نافذته.
بالتأكيد علينا القيام بنفس العملية للبرنامج المطلوب تحليله في السؤال، فنشغله في منقح ونضع نقطة توقف عند أول استدعاء للدالة strcat في البرنامج واستبدال تلك التعليمة ب jmp 00420277 الذي هو بمثابة code cave.
وفي العنوان 00420277 يمكننا كتابة
لاحظ أن عناوين itoa و strcat وعنوان القفزة في آخر سطر يمكن أن تتغير فعليك كتابتها يدويا، وللتوضيح القفزة الأخيرة تؤشر إلى التعليمة التي تلي أول استدعاء ل strcat الذي استبدلانه بالأعلى.
بعد السماح للبرنامج بإتمام عمله نحصل على عدد من الملفات تتضمن handle نوفاذها كما في الكود المكتوب في المشاركة السابقة، وبالنظر إلى أحجام الملفات وعددها يبدو أن الملفات متطابقة.
الآن، تأكدنا أن الأوامر تمثل حقا ما يقوم به البرنامج،ولكن إذا أرجعنا السطر 22 وألغينا السطرين 20 و 21 لا نزال لا نحصل على نفس النتيجة. في الحقيقة في السطر 22 الدالة strcat تشتكي من كون العنوان p غير ممكن الوصول وترمي استثناء access violation exception.
يبدو أن هذه المشكلة تحصل بعض الأحيان في البرنامج الأصلي أيضا وبعض الأحيان لا تحصل، والحقيقة لست أدري لم يود البرنامج الوصول إلى العنوان p (ما الذي يمثله أو يؤشر إليه أصلا؟؟!).
وكما أسلف الأخ the9am3، البرنامج يلتقط صورا للنوافذ. في حالة وجد نافذة Notepad++ فإنه يلتقط صورة لنوافذها الجزئية (لست أدري بالضبط ما تعريف النافذة الجزئية) وإن لم يجد نافذة Notepad++ فإنه يلتقط صورا للنوافذ الموجودة في الجهاز.
أتوقف هنا حاليا، وأكمل لاحقا
أوضّحُ عملية التحقق التي اتبعها.
للتأكد من أن المكتوب يقوم حقا بما يقوم به البرنامج قمت بإلغاء السطر 22 من الكود المكتوب وإضافة السطرين 21 و 20 وفي هذه الحالة نحصل على عدد من الملفات كل منها اسمه يتضمن handle نافذته.
بالتأكيد علينا القيام بنفس العملية للبرنامج المطلوب تحليله في السؤال، فنشغله في منقح ونضع نقطة توقف عند أول استدعاء للدالة strcat في البرنامج واستبدال تلك التعليمة ب jmp 00420277 الذي هو بمثابة code cave.
وفي العنوان 00420277 يمكننا كتابة
00420277 | 83EC 0C | sub esp,C |
0042027A | 6A 10 | push 10 |
0042027C | 8D4424 04 | lea eax,dword ptr ss:[esp+4] | [esp+4]:"lW"
00420280 | 50 | push eax | eax:"AT4RE40104"
00420281 | 56 | push esi | esi:"lW"
00420282 | E8 A9082077 | call <msvcrt._ltoa> |
00420287 | 90 | nop |
00420288 | 50 | push eax | eax:"AT4RE40104"
00420289 | FF7424 1C | push dword ptr ss:[esp+1C] |
0042028D | E8 94FFFFFF | call <JMP.&strcat> |
00420292 | 83C4 20 | add esp,20 |
00420295 | 90 | nop |
00420296 | 90 | nop |
00420297 | 90 | nop |
00420298 | E9 41FEFFFF | jmp understand_me32.4200DE |
لاحظ أن عناوين itoa و strcat وعنوان القفزة في آخر سطر يمكن أن تتغير فعليك كتابتها يدويا، وللتوضيح القفزة الأخيرة تؤشر إلى التعليمة التي تلي أول استدعاء ل strcat الذي استبدلانه بالأعلى.
بعد السماح للبرنامج بإتمام عمله نحصل على عدد من الملفات تتضمن handle نوفاذها كما في الكود المكتوب في المشاركة السابقة، وبالنظر إلى أحجام الملفات وعددها يبدو أن الملفات متطابقة.
الآن، تأكدنا أن الأوامر تمثل حقا ما يقوم به البرنامج،ولكن إذا أرجعنا السطر 22 وألغينا السطرين 20 و 21 لا نزال لا نحصل على نفس النتيجة. في الحقيقة في السطر 22 الدالة strcat تشتكي من كون العنوان p غير ممكن الوصول وترمي استثناء access violation exception.
يبدو أن هذه المشكلة تحصل بعض الأحيان في البرنامج الأصلي أيضا وبعض الأحيان لا تحصل، والحقيقة لست أدري لم يود البرنامج الوصول إلى العنوان p (ما الذي يمثله أو يؤشر إليه أصلا؟؟!).
وكما أسلف الأخ the9am3، البرنامج يلتقط صورا للنوافذ. في حالة وجد نافذة Notepad++ فإنه يلتقط صورة لنوافذها الجزئية (لست أدري بالضبط ما تعريف النافذة الجزئية) وإن لم يجد نافذة Notepad++ فإنه يلتقط صورا للنوافذ الموجودة في الجهاز.
أتوقف هنا حاليا، وأكمل لاحقا
I am homesick for a place I have not even visited
مَا ابْيَضَّ وجهٌ باكتساب كريمةٍ ... حتى يسوِّدهُ شُحوب المَطلبِ
مَا ابْيَضَّ وجهٌ باكتساب كريمةٍ ... حتى يسوِّدهُ شُحوب المَطلبِ