+- delphi4arab منتديات دلفي للعرب (https://delphi4arab.net/forum)
+-- قسم : منتديات دلفي الأخرى (https://delphi4arab.net/forum/forumdisplay.php?fid=4)
+--- قسم : الامن و تحليل التطبيقات البرمجية (https://delphi4arab.net/forum/forumdisplay.php?fid=31)
+--- الموضوع : PE Editor مع مشروع برنامج صغير (/showthread.php?tid=2271)
الصفحات:
1
2
PE Editor مع مشروع برنامج صغير - o15s19 - 07-08-2010
السلام عليكم
أولا
عذرا لقلة تواجدي في المنتدى
ثانيا
قمت قبل مدة بعمل Pe Editor و لكن ليس كامل و يحتاج للكثير من العمل ليصبح أداة متكاملة من ناحية التعامل مع PE في القرص و في الذاكرة
أفكاري كثيرة و لكني توقفت هنا ريثما اتخرج من الكلية
أصل العمل مقتبس من وحدة PEEditor ل Hard Wisdom و تم إضافة التغييرات التالية
كود :
// FIx Unit to work with D2010
// Add IAT RVA&Size
// Add ExportsFunction RVA & Offset
// Add Export Name String
// Remove Section Structure and add new one
// Fix Offset 2 RVA
// Add new Section Procedure
// Add Export Table option to move it to new locationقلت لنفسي أنه يمكن يريحكم من البحث قليلا لأن مستواكم ماشاء الله عالي جدا
تم بناء هذا العمل لإراحتي من بعض الامور اليدوية و خصوصا مسألة نقل ال Export Table و ذلك لانتاج ملف خالي من أي شوائب من حماية Themida في برنامج قمت بتكريكه مؤخرا
الوحدة و المشروع بالمرفقات
PE Editor مع مشروع برنامج صغير - kachwahed - 07-08-2010
وعليكم السلام ورحمة الله
جميل جدا o15s19
ـإقتباس :أفكاري كثيرة و لكني توقفت هنا ريثما اتخرج من الكليةنفس الفكرة كانت عندي ولكن الظروف...
لأني لا أحب أن أحمل وأخرج، هذا مثال مشابه فيه إضافات (Extract Overlay، Hex View...) ربما تفيدك
أطلعنا على جديدك
بالتوفيق.
PE Editor مع مشروع برنامج صغير - hanipino - 07-08-2010
بارك الله فيكم اخونى .
اخى kachwahed مثال رائع ... من خلال هادا المثال ساحاول الوصول الى طريقة لاخفاء و جود ال Overlay
PE Editor مع مشروع برنامج صغير - kachwahed - 08-08-2010
أعد Colin Wilson مكتبة قديمة نوعا ما لكنها جيدة. مرفقة
بالتوفيق.
PE Editor مع مشروع برنامج صغير - hanipino - 08-08-2010
السلام عليكم
استطعت اخفاء و جود ال Overlay ... لاكن دالك كان على حساب اخر Section ... بحيث هده الاخيرة اصبحت لا عمل لها .
و تحدث اخطاء ان اعتمد البرنامج على اشياء من هده Section
![[صورة: 2zjj8te.png]](http://i37.tinypic.com/2zjj8te.png)
PHP كود :
procedure FixOverlay(sPath: string);
var
IDH: TImageDosHeader;
INH: TImageNtHeaders;
ISH: TImageSectionHeader;
hFile: THandle;
dRead: DWORD;
dSize: DWORD;
begin
try
hFile := CreateFile(PChar(sPath), GENERIC_ALL, FILE_SHARE_READ, nil, OPEN_EXISTING, 0, 0);
if hFile <> INVALID_HANDLE_VALUE then
begin
dSize := GetFileSize(hFile, nil);
SetFilePointer(hFile, 0, nil, FILE_BEGIN);
ReadFile(hFile, IDH, SizeOf(IDH), dRead, nil);
if dRead = SizeOf(IDH) then
begin
SetFilePointer(hFile, IDH._lfanew, nil, FILE_BEGIN);
ReadFile(hFile, INH, SizeOf(INH), dRead, nil);
if dRead = SizeOf(INH) then
begin
SetFilePointer(hFile, IDH._lfanew + 248 + (INH.FileHeader.NumberOfSections - 1) * 40, nil, FILE_BEGIN);
ReadFile(hFile, ISH, SizeOf(ISH), dRead, nil);
//------------------------------//
ISH.PointerToRawData := dSize;
ISH.SizeOfRawData := 0;
//------------------------------//
SetFilePointer(hFile, IDH._lfanew + 248 + (INH.FileHeader.NumberOfSections - 1) * 40, nil, FILE_BEGIN);
WriteFile(hFile, ISH, SizeOf(ISH), dRead, nil);
end;
end;
end;
CloseHandle(hFile);
except
{$Warnings OFF}
NoErrMsg := True;
end;
end;
شكرا اخوانى .
PE Editor مع مشروع برنامج صغير - Ahmed18 - 09-08-2010
هل من الممكن ان ترفق الملف الذي عدلت علية اخي hanipino
PE Editor مع مشروع برنامج صغير - hanipino - 09-08-2010
نعم اخى احمد .
طريقة الاخفاء هده تكون ناجحة فى حالة فقط و هى عند اضافة ملف تنفيدى فى اخر ملف تنفيدى ... و تنفيد الملف المخزن عنطريق دالة من دوال Memory Execution المنتشرة بكثرة فى الانترنت
كمثال هنا
فى غير دالك يحدث خطاء ... .
... لاكن بعد الاطلاع على Section Viewer يمكن الاكتشاف انه هناك Overlay مخفية .
PE Editor مع مشروع برنامج صغير - hanipino - 09-08-2010
...
بعد تجريب PEiD v0.95 ... يكتشف وجود ال Overlay عادى .
اما النسخة v0.94 فلا تكتشف دالك .
PE Editor مع مشروع برنامج صغير - Ahmed18 - 10-08-2010
الغريب في الامر ان برنامج FastScanner لا يكتشف وجود Overlay في الملف كذلك اداة الاخ STRELiTZIA
AT4RE Overlay Tool 0.2 Build 2010 لا اعرف كيف يكتشفة ال PEiD 0.95
PE Editor مع مشروع برنامج صغير - hanipino - 10-08-2010
ahmed18 كتب :لا اعرف كيف يكتشفة ال peid 0.95
لا ادرى ...
... هده محاولة منى للكشف عنها (مجرد محاولة)