[Статья] "Поиск инжектов" или "Наш код в чужом процессе"

[vogel]

Применим. Warspear просто написан похуже...

[BritishColonist]

[phallic], да, у меня такая же ерунда в PW. Ужасные тормоза, если ставить BP на базовый адрес.
Но это не у всех. Наверное, от процессора зависит.

[[phallic]]

Странно, на ноутбуке i3, на компьютере AMD 3870, тормоза одинаковые

А что делать, если я ловлю в Cheat Engine адрес, смотрю в олли, а там нет Push Arg1 и Call рядом? При этом бряк по тому адресу срабатывает.

[dwa83]

Цитата: Сообщение от [phallic] А что делать, если я ловлю в Cheat Engine адрес, смотрю в олли, а там нет Push Arg1 и Call рядом? При этом бряк по тому адресу срабатывает.

Может параметр через какой-то регистр передаваться без использования стека вроде бы..

[BritishColonist]

[phallic], в любом случае следует смотреть ниже и выше по коду, ставить ещё много-много BP (в OllyDbg), проверять, чему равны регистры (чтобы понять, где лежит нужное нам значение). Так можно будет во многом разобраться, но для начинающих это является сложной задачей.

P.S. И BP срабатывает в любом случае, а не только на командах PUSH и CALL.

[Ilyialat]

Всем привет =) У меня проблема( Нашёл базовый адрес, пытаюсь просмотреть функции в CE и у меня просто зависает игра( Я её открываю появляется её курсор, но графа не рисуется( Вырубаю её через диспетчер задач, и у меня СЕ функции показывает(вроде как рисования графики)( Что делать?(

[Gigabyte88]

Всем привет! Руки вроде из правильного места, схватываю на лету, надо лишь подтолкнуть в верном направлении. Искал инжект для копания шахты, ибо старый с обновой стал светофорить.

При работе с дебаггером было найдено следующее

0046DEBC   A1 CCFBB800      MOV EAX,DWORD PTR DS:[B8FBCC]
0046DEC1   52               PUSH EDX
0046DEC2   57               PUSH EDI
0046DEC3   8B48 1C          MOV ECX,DWORD PTR DS:[EAX+1C]
0046DEC6   8B41 1C          MOV EAX,DWORD PTR DS:[ECX+1C]
0046DEC9   8B48 28          MOV ECX,DWORD PTR DS:[EAX+28]
0046DECC   E8 8F6D2000      CALL ELEMENTC.00674C60

а так же это

00481772   8B0D CCFBB800    MOV ECX,DWORD PTR DS:[B8FBCC]            ; ELEMENTC.00B90280
00481778   6A 00            PUSH 0
0048177A   57               PUSH EDI
0048177B   8B51 1C          MOV EDX,DWORD PTR DS:[ECX+1C]
0048177E   8B4A 1C          MOV ECX,DWORD PTR DS:[EDX+1C]
00481781   E8 1A20FBFF      CALL ELEMENTC.004337A0

Оба куска получают верный песочный айди объекта (на моем примере трава) в переменной EDI, но при попытке инжекта ни один из вариантов не работает, но однако и не светофорит.
Где ошибка, господа? Почему в теме с адресами PickWalk 00472EE0 а у меня 004337A0?

А вот тут, что я писал (Delphi)

procedure mine_drop(aPParams:PParams);Stdcall;
var
  P: DWord;
begin
  P:=aPParams^.WID;
  asm
    MOV EDI, P
    MOV EBX, $004337A0
    MOV ECX,DWORD PTR DS:[$00B8FBCC]
    PUSH 0 //  как понял это тип копаемой шахты, пробовал и 0 и 1 и 2
    PUSH EDI
    MOV EDX,DWORD PTR DS:[ECX+$1C]
    MOV ECX,DWORD PTR DS:[EDX+$1C]
    CALL EBX
  end;
end;

P.S., код по памяти писал, ибо оригинал затер за неработоспособностью

И последний вопрос на тематику asm...

Что это и зачем это нужно?

0046DEC3   8B48 1C          MOV ECX,DWORD PTR DS:[EAX+1C]
0046DEC6   8B41 1C          MOV EAX,DWORD PTR DS:[ECX+1C]
0046DEC9   8B48 28          MOV ECX,DWORD PTR DS:[EAX+28]

Это же все равно что
a=b+1
b=a+1
a=b+2
как то не логично...

[Dinmaite]

По поводу копания шахт не подскажу. Вероятнее всего код остался прежним, необходимо заменить адреса.

Цитата: Сообщение от Gigabyte88 Что это и зачем это нужно? Код: 0046DEC3 8B48 1C MOV ECX,DWORD PTR DS:[EAX+1C] 0046DEC6 8B41 1C MOV EAX,DWORD PTR DS:[ECX+1C] 0046DEC9 8B48 28 MOV ECX,DWORD PTR DS:[EAX+28] Это же все равно что a=b+1 b=a+1 a=b+2 как то не логично...

Абсолютно не так.
В ECX записывается значение из памяти.
Затем в EAX записывается значение из памяти.
Затем в ECX записывается значение из памяти.

Значения будут совсем не равны единице.

[mirakita]

та же проблема с пристыковкой СЕ к клиенту ПВ. есть ли альтернативный способ выцепить инжекты?
спасибо

[sumikot]

Цитата: Сообщение от mirakita та же проблема с пристыковкой СЕ к клиенту ПВ. есть ли альтернативный способ выцепить инжекты? спасибо

Самый простой - IDA. Но. Если есть адреса инжектов для другого клиента. Дизассемблируешь два клиента, один с известными адресами, другой с неизвестными. И методом поиска и сравнения находишь все, что нужно. Пример.

[nmartinez]

writeprocessmemory не хочет нормально работать у меня =_= что то не нравится с параметрами.

Добавлено через 31 минуту
клиент вылетает при выполнении CreateRemoteThread

Добавлено через 6 часов 11 минут
Фух, разобрался. Все было куда проще.

[Xantrax]

Цитата: Фух, разобрался. Все было куда проще.

Ну, что за люди? nmartinez Разобрался с проблемой, сообщи остальным, в чем была проблема и как ты разобрался, чтобы люди не мучались в след. раз столкнувшись с такой же проблемой.

[edyapd]

Замечательная статья.
Вот только адреса все поменялись. Найти их конечно не проблема. Они все выложены на форуме.
Но подскажите где я туплю, пытаюсь вместо

MOV EBX, $00606A70
MOV EAX,DWORD PTR DS:[$A5B90C]

Написать:

FullTarget: DWord;
BaseAddr: DWord;
FullTarget:= $00693D60;
BaseAddr:= $0B8FBCC;
.......
MOV EBX, FullTarget
MOV EAX,DWORD PTR DS:[BaseAddr]

Пока стоят числа, всё работает. Ставлю переменные игра вылетает.

[Dinmaite]

Цитата: Сообщение от edyapd MOV EAX,DWORD PTR DS:[$A5B90C]

Указывает на значение, лежащее по адресу A5B90C.

Цитата: Сообщение от edyapd MOV EAX,DWORD PTR DS:[BaseAddr]

Указывает на значение A5B90C.

[BritishColonist]

edyapd, попробуйте ради интереса сделать BA не переменной, а константой.

update: не уверен насчёт Delphi, но в C++ есть ещё " #define ", который позволяет сделать макрос или константу, но на самом деле код соберётся на этапе компиляции, вместо каждой такой константы подставится указанное изначально значение. Если в дельфи есть аналог этого #define, то это поможет решить данную проблему.
P.S. Но в итоге получится, что везде будет стоять конкретное число.

update2:
Если же нужна возможность менять базовый адрес во время работы программы (например, с помощью загрузки адресов из конфига), то потребуется прибегнуть к некоторым хитростям.
Если выполняемый код находится внутри DLL, загруженной в elementclient.exe, то достаточно прислушаться к тому, что выше написал Dinmaite и дополнительно разыменовать указатель BaseAddress.
Если нет, то попробуйте юзать константу/define или передавать базовый адрес в качестве параметра функции-инжекту.
Ещё можно выделить определённое место в памяти клиента под "служебные данные", такие как GA, BA и т.д., а из инжектов обращаться к этим данным "как к своим".