Статья [Reverse-Engineering] Обходим проверку CRC в VMProtect 3.X и решаем ByPassMe

colby57 · 20 Июнь 2021

Arting написал(а):
и при срабатывании одного из них отладчик сообщает нам о каком то непонятном исключении:

@

@

legendabrn · 29 Июнь 2021

где должен ставиться бряк на createtheard?
ставил в kenrel32, но не выходил на код анти-дебаг трика

AirForceGreenColor · 29 Июнь 2021

legendabrn написал(а):
где должен ставиться бряк на createtheard?
ставил в kenrel32, но не выходил на код анти-дебаг трика
Посмотреть вложение 20438

CTRL+G и вбиваешь CreateThread затем ставишь бряк. Когда он срабатывает нажимаешь 2 раза левой кнопкой мыши на return в стеке, и смотришь что там выше

Xhayla · 29 Январь 2022

Arting, colby57 здравствуйте, не подскажите где посмотреть реализацию функции GetSystemNumber?
И еще, почему у меня в ntdll.dll нет Wow64Transition?
GetProcAddress( GetModuleHandleA( "ntdll.dll" ), "Wow64Transition" ) ничего не возвращает. Я даже через CE посмотрел функции внутри ntdll.dll, но там "Wow64Transition" попросту - нет.

jmp[0x1337] · 29 Январь 2022

Xhayla написал(а):
Arting, colby57 здравствуйте, не подскажите где посмотреть реализацию функции GetSystemNumber?
И еще, почему у меня в ntdll.dll нет Wow64Transition?
GetProcAddress( GetModuleHandleA( "ntdll.dll" ), "Wow64Transition" ) ничего не возвращает. Я даже через CE посмотрел функции внутри ntdll.dll, но там "Wow64Transition" попросту - нет.


__forceinline NTSTATUS RemapModule(const  wchar_t* ModuleName, PVOID* ModuleBaseAddress)
    {
        NTSTATUS status = STATUS_NOT_SUPPORTED;
        HANDLE sectionHandle = nullptr;
        SIZE_T viewSize = NULL;
        UNICODE_STRING usSectionName{};
        OBJECT_ATTRIBUTES objAttrib{};


        wchar_t buffer[MAX_PATH];
        NoCRT::mem::memset(buffer, 0, MAX_PATH);
#ifdef _WIN64
        auto str_KnowDll = L"\\KnownDlls\\";
#else

        auto str_KnowDll = L"\\KnownDlls32\\";
#endif 

        NoCRT::string::strcatW(buffer, str_KnowDll);

        NoCRT::string::strcatW(buffer, ModuleName);


        usSectionName = ApiWrapper::InitUnicodeString(buffer);


        InitializeObjectAttributes(&objAttrib, &usSectionName, OBJ_CASE_INSENSITIVE, NULL, NULL);
 

        auto ZwOpenSection = (t_ZwOpenSection)ApiWrapper::GetProcAddress(L"ntdll.dll", "ZwOpenSection");
        auto ZwMapViewOfSection = (t_ZwMapViewOfSection)ApiWrapper::GetProcAddress(L"ntdll.dll", "ZwMapViewOfSection");
        auto NtClose = (t_NtClose)ApiWrapper::GetProcAddress(L"ntdll.dll", "NtClose");

        if (!NtClose || !ZwMapViewOfSection || !ZwOpenSection)
        {
            return 0;
       
        }


        status = ZwOpenSection(&sectionHandle, SECTION_MAP_READ, &objAttrib);

        if (!NT_SUCCESS(status))
        {
            return status;
        }

        status = ZwMapViewOfSection(sectionHandle, NtCurrentProcess, ModuleBaseAddress, NULL, NULL, nullptr,
            &viewSize, (SECTION_INHERIT)1, NULL, PAGE_READONLY);
        if (!NT_SUCCESS(status))
        {
            return status;
        }

        if (sectionHandle)
        {
            status = NtClose(sectionHandle);
            if (!NT_SUCCESS(status))
            {
                return status;
            }
        }
        return status;
    }
 

    short GetSyscallNumber(const  wchar_t* moduleName, const char* ApiName)
    {

        short originalSyscallNumber = 0;
        
        PVOID mapped_dll = nullptr;
        RemapModule(moduleName, &mapped_dll);

        auto baseNtDll = ApiWrapper::GetModuleBaseAddress(L"ntdll.dll");
        if (!mapped_dll || !baseNtDll)
        {
            
            return 0;
        }
        
        auto originalFunc = (uint64_t)ApiWrapper::GetProcAddress((DWORD64)mapped_dll, ApiName);

        auto ZwUnmapViewOfSection = (t_ZwUnmapViewOfSection)ApiWrapper::GetProcAddress(baseNtDll, "ZwUnmapViewOfSection");
        
        if (!originalFunc) //check for prevent SEH
        {
            //under x32dbg   return 0 ?????

            ZwUnmapViewOfSection(NtCurrentProcess, mapped_dll);
            return false;
        }
#ifdef _WIN64
        originalSyscallNumber = *(short*)(originalFunc + 4);
#else
        originalSyscallNumber = *(short*)(originalFunc + 1);
#endif

   
    ZwUnmapViewOfSection(NtCurrentProcess, mapped_dll);
        return originalSyscallNumber;
    }

Api оболочки можешь найти в интернете

colby57 · 30 Январь 2022

Xhayla написал(а):
Arting, colby57 здравствуйте, не подскажите где посмотреть реализацию функции GetSystemNumber?
И еще, почему у меня в ntdll.dll нет Wow64Transition?
GetProcAddress( GetModuleHandleA( "ntdll.dll" ), "Wow64Transition" ) ничего не возвращает. Я даже через CE посмотрел функции внутри ntdll.dll, но там "Wow64Transition" попросту - нет.

адрес Wow64Transition достается через
mov eax, dword ptr fs:[0xC0]

Xhayla · 2 Февраль 2022

colby57 написал(а):
адрес Wow64Transition достается через
mov eax, dword ptr fs:[0xC0]

А может ли быть такое, что это не будет работать на Win7? Ибо даже готовое решение(архив прикрепленный выше от автора поста) у меня не хочет работать, попросту крашит.

Статья [Reverse-Engineering] Обходим проверку CRC в VMProtect 3.X и решаем ByPassMe

Вложения

Похожие темы