Ну, судя по информации в гугле - вышла.

Аналогично тоже ищу

Пока старую читаю

Пока старую читаю

Можешь скинуть старую?

Можешь скинуть старую?

15 го года бумажную версию читаю!

Аа

push rcx push rdx push r8 mov rcx, ImageBase mov rdx, DLL_PROCESS_ATTACH mov r8, ImageSize sub rsp, 0x28 mov rax, DllMain call rax add rsp, 0x28 pop r8 pop rdx pop rcx push rbx push rsi mov rsi, OriginalFunction call rsi mov rbx, pFunction mov [rbx], rsi pop rsi pop rbx ret данный шеллкод должен вызывать x64 DllMain, вызвать абстрактную оригинальную функцию OriginalFunction, и заменить значение указателя pFunction на OriginalFunction. Все тут намально, все арги сохранены, итп?

просто чекните плез

r9 может ещё сохранить. на случай если в дллмейн что-то вызывается с >=4 параметрами его может перезаписать

push r9

OriginalFunction = PeekMessage ?

еще короче

допустим это PeekMessage, тогда у неё 5 аргов, последний на стеке

скорее всего ваще рандомная функция

Надо перед её вызовом стек поправить

а зачем его править если по факту я его не трогал

хотя стоп

Ну как я понял, была апи да, пускай PeekMessage, ты выставил хук верно?

её кто-то вызвал, в духе:

PeekMessage(1,2,3,4,5)

дада

Попало на твой шеллкод, 5ый арг на стеке ща

Ты делаешь пуши

а вызвался бы moishellkod(12345)

понял к чему

5ый арг на стеке проёбывается

Перед вызовом оригинал надо к rsp добавит скока там

16?

изза пуш рси, пуш рбх

?

Ну да. Их можно пушнуть, но перед вызовом стек поправить надо

а если их не пушить то все намально

?

rdx, rcx, r8, r9 это первые 4 арга остальное на стеке

Если их не пушить, то по идее надо добавить еще 8 к стеку. Потому что был 1 колл, но он попал на шеллкод. PeekMessage должен доставать арг пятый из стека как [rsp+28] по идее. Ну то есть идёт аргумент, потом на стеке шадоу спейс. Получается перед вызовом PeekMessage стек на шадов указывать должен

потом туда сверху при call ляжет адрес возврата

поскольку тут уже был вызов шеллкода ща ситуация такая

адрес возврата шадов который создал вызыватель аргумент PeekMessage

и при call OriginalFunction ещё один адрес возврата добавится

смотри, при ret поидее адрес возврата удаляется, не?

да

стек фиксится там

получается.. два пуша

плюс адр возврата

24 байта

а вот смотри, гетмессейдж имеет меньше параметров, 4.. получается если юзать гетмессейдж, то для него этот шеллкод будет валиден

Впринципе да

Да на самом деле и Peek прокатит

Там последний арг это инт

Просто он отработает некорректно, но не крашнет ниче

угу, понял. вообще же поидее я хуй могу забить на эти два пуша и просто не делать их. rbx и rsi - не юзаются под арги и сохранять восстанавливать их смысла нет(лол)

Ну впринципе да

бывает апи сами сохраняют арги если модифицируют

аа хмм

вообще по идее может быть такое, что код вызывющий дальше будет с rbx/rsi работать а они перезаписаны

лучше восстановить

а ты сделай через rax

а в rax return value

какой то третий регистр типо rbx все равно понадобится

да, написано RBX, RSI, RDI должны быть сохранены вызываемой функцией

mov rax, orig ;add rsp,8 опционально call rax ;sub rsp,8 push rbx push rsi mov rsi,orig mov rbx,pfunc mov rbx,rsi pop rsi pop rbx

просто чтоб не пушить перед вызовом ориганало дополнительно в стек

внатуре

ебать че я такой тупой

а что вообще либа делать то будет ?

да пилю универсальный х64 инжектор

Через NtMapViewOfSection как я понял?

А createremotethread палица значит..

а напрямую если вызывать? как там

NtCreateThreadEx?

Ну нелезет же античит в ядро, чтоб следить за созданием потоков, это жёсткая тема чёт

Если хукает просто Kernel32 глобально... то через ntdll можно попробовать.. если хукает ntdll можно попробовать syscall/sysenter

а хде ему еще сидеть как на убогих виндоколлбеках ака SetThreadCreateNotifyRoutine

у БЕ свой друйвер есть

аааа

который с БЕсервисе р3 процемсом общается через пайп

push rcx push rdx push r8 mov rcx, ImageBase mov rdx, DLL_PROCESS_ATTACH mov r8, ImageSize sub rsp, 0x28 mov rax, DllMain call rax add rsp, 0x28 pop r8 pop rdx pop rcx push rbx mov rax, OriginalFunc mov rbx, pFunction mov [rbx], rax pop rbx call OriginalFunc ret

вот, щас адекватно вроде