كيفية استخدام دالتي LoadLibraryA وGetProcAddress

هل هو كذا؟

push  (addr of  LoadLibraryA's string)
call   LoadLibraryA
push  (addr of MassegeBoxA's string)
call   GetProcAddress

push  parameter1
push  parameter2
push  parameter3
push  parameter4

call   MassegeBoxA

push  (library name string, kernel32.dll)
call   LoadLibraryA
push  (addr of MassegeBoxA's string)
push  eax                              ; <<<<<<<<<<<<<<< handle of kernel32
call   GetProcAddress

push  parameter1
push  parameter2
push  parameter3
push  parameter4

call   eax              ; <<<<<<<<<<<<<<<< addr of MessageBox

thx , i'll try and then reply

i changed the flow of the code to a cave in which i injected the code,

then i traced the program (with F8) and when it reached the call to my injected

code it just "dissapeared" and i could see this in the buttom of the program:

here is my injected code :

so what's going on there?

make sure the section characteristics are set to: Executable as code / Readable / Writeable (if your codes tries to save some bytes in that section)

using a hexeditor perhaps like the one and the only :P LordPE :)

uh one more thing i can think of ali, you say that your injected code is executed thru a CALL right? well, you must use the RET instruction to exit that CALL so you will have to PUSHAD all the registers values once you hit into the CALL and you should POPAD em so you dont mess the code flow, then you use RET to go back to the main procedure.

one more thing, i can't see the function name in 40320a, and the function name is case sensitive, so watch out, calling EAX without having anything valid to call may lead into a crash, trace into the CALL to see whats going on for real.

peace

اقتباس

make sure the section characteristics are set to: Executable as code / Readable / Writeable

كنت اظن ان Writeable تكفي...حسنا لا باس...

اقتباس

you will have to PUSHAD all the registers values once you hit into the CALL and you should POPAD em

كنت قد حفظت قيمة EBP و ESP فقط (وذلك من خلال stack-frame) لكن لا مشكلة ساستخدم pushad , popad لحفظ جميع المسجلات.

ايضا غيرت طريقة تغيير مجرى البرنامج...استخدمت الـ jumps بدلا من call then return اعتقد ان هذا افضل.(عالاقل في هذه الحالة)

اقتباس

i can't see the function name in 40320a

الـ string لاسم الدالة كالتالي :

MassegeBoxA.

اول صفرين هو الـ hint وقيمته صفر. اعتقد ان عنوان RVA لاسم الدالة يبدا من الـ hint وليس من اول حرف (اي حرف M )

عموما لقد غيرته...وظهرت كلمة MassegeBoxA ...

لكن بعد تنفيذ امر GetProcAddress

الاحظ ان eax=00000000 فما الخطا ؟؟؟

عموما في المرفقات يوجد نسختين من البرنامج الاولى patched وهي قبل اضافة الـ injected code والاخرى اسمها reversed بعد الاضافة.

(افضل ان تكون الكتابة هنا باللغة العربية ، لا لشيئ ولكن لان المنتدى عربي "الفريق العربي للبرمجة" B) )

0x.rar

الـ hint تستخدمها فقط في الـ IT عند بناء جدول RVAs. عند استخدامها في تعلمة GetProcAddress لازم تشير الى اول حرف وان يكون اسم الوظيفة متل ما قلت متل ما هو لانه حساس بحالة الاحرف.

باي حال, نظرت الى الملفات المرفقة, ثم نظرت الى الصورة.. فانتبهت الى الخطا الذي جعلك تحصل على القيمة 0 بعد تنفيذ GetProcAddress.. انتبه الى الخطا سهوا في كتابة MassegeBoxA بدلا من MessageBoxA !

ايضا, اخطات انا ايضا عندما اكدت على ما كتبته في الكود في مشاركتي الاولى :P

MessageBoxA موجودة في user32.dll وليس في kernel32.dll فلا تواخذني لاني لم انتبه الى ما كتبت.

الان اجر تعديلات لتصبح:

004031FF   > \60                    PUSHAD
00403200   .  68 80484000           PUSH reversed.00404880                             ; /FileName = "USER32.dll"
00403205   .  E8 0353A477           CALL kernel32.LoadLibraryA                         ; \LoadLibraryA
0040320A   .  68 B9504000           PUSH reversed.004050B9                             ; /ProcNameOrOrdinal = "MessageBoxA"
0040320F   .  50                    PUSH EAX                                           ; |hModule = 0012FFE0
00403210   .  E8 E6FBA377           CALL kernel32.GetProcAddress                       ; \GetProcAddress
00403215   .  6A 00                 PUSH 0
00403217   .  68 606A4000           PUSH reversed.00406A60                             ;  ASCII ".:|ReverseengineerinG|:. "
0040321C   .  68 806A4000           PUSH reversed.00406A80                             ;  ASCII "reversed by : allko"
00403221   .  6A 00                 PUSH 0
00403223   .  FFD0                  CALL EAX
00403225   .  61                    POPAD
00403226   .  90                    NOP
00403227   .^ E9 9AFDFFFF           JMP reversed.00402FC6

ولا تنسى ان استخدام Call LoadLibraryA سيؤدي الى استخدام العنوان الذي يزود به نظامك حاليا والخاص بهذه الوظيفة, بمعنى انه سيختلف عندما تقوم بالفرمته او ان استخدمت انا الملف الذي قمت بتعديله لانه سيظهر كبايتات عشوائية فقط.

!!! IT WORKS

:D :D :D

لك كل الشكر يا استاذ xacker

الان انتهت المهمة الصغرى...سابدا بمحاولة عمل زر مرتبط مع هذه المسج...

شكرا مرة اخرى

you can do it, goodluck with it, and with your electronics exam ;)