[ENABLE]
alloc(newmem,2048)
label(returnhere)
label(originalcode)
label(exit)

newmem:
cmp byte ptr [eax+06],0
jne originalcode
mov byte ptr [eax+06],1

originalcode:
test byte ptr [eax+06],01
je 123.exe+123456

exit:
jmp returnhere

"123.exe"+123455
jmp newmem
nop
returnhere:


 
 
[DISABLE]
dealloc(newmem)
"123.exe"+123455
test byte ptr [eax+06],01
je 123.exe+123456

Könnt mir da vlt jemand ein Beispiel zu erklären wie das ungefähr auszusehen hat, damit ich ihm das sagen kann? Wäre echt Klasse.
Beste Grüße, l0wb1t

cmp byte ptr [eax+06],0
jne originalcode
mov byte ptr [eax+06],1
jmp originalcode

Als nächstes schreibt er per WriteProcessMemory an die Originalcode Adresse ("123.exe"+123455) den Jump zur CodeCave Adresse (NOP's nicht vergessen!).

Er muss eben wissen wie die WriteProcessMemory API funktioniert, also das man Bytes schreibt und nicht die Befehle selbst.

Noch ein bisschen Pseudo C++ Code

//CodeCave schreiben
WriteProcessMemory(hProcess, (LPVOID)CodeCaveAddress, (LPCVOID)CodeCaveBytes, sizeof(CodeCaveBytes), 0)
//Originalen Code überschreiben
WriteProcessMemory(hProcess, (LPVOID)OriginalCodeAddress, (LPCVOID)JumpToCodeCave, 5, 0)

Man kann auch einfach anstatt je 123.exe+123456 jmp 123.exe+123456 schreiben. Hätte den selben Effekt wie immer byte ptr [eax+06] auf 1 zu setzen. (In sofern dein Beispiel der Realität entspricht).

(27.01.2013, 19:38)Acubra schrieb: Man kann auch einfach anstatt je 123.exe+123456 jmp 123.exe+123456 schreiben. Hätte den selben Effekt wie immer byte ptr [eax+06] auf 1 zu setzen. (In sofern dein Beispiel der Realität entspricht).