Api Hook مثال بسيط, Hook للدالة TerminateProcess

[TF6M]

dw -1 لم نقم بتعريفه هل هو إختصار لـ DWord ??
2- لما خصصنا البارامتر الأول للدالة ReadProcessMemory بـ dWord(-1) ؟

[محمد عبد العزيز]

مادا تعني (في داكرة برنامجنا ؟

عندما ينفذ البرنامج وكانه وحده وكل الذاكرة له وحده
القصد ان ما قمنا به من تعديل لا يؤثر على البرامج الاخرى التي تعمل بنفس الوقت

ما الفرق بين مقبض البرنامج و رقم التعريف id

تقصد Handle و PID
باختصار كلاهما مجرد رقم، PID يكون فريد مدى حياة الProcess
لكل شيئ Handle سواء نافذة او Process أو Thread او...
حتى تفهم اكثر طالع احذ كتب Win32

لمادا 6 ؟

حجم الاوامر المستخدمة للتغيير
5 bytes لامر Push
1 byte لامر Ret
المجموع يساوي 6

dw -1 لم نقم بتعريفه

معرف بالمثال المرفق باول مشاركة

PHP كود :

Dw  : Dword; 


لما خصصنا البارامتر الأول للدالة ReadProcessMemory بـ -1 ؟

يقراء نفسه

[TF6M]

شكرا ,,

1- إذا يمكننا أن نقوم بتتبع دوال الـ Api إنطلاقا من العنوان المحمل (loadlibrary مقبض) من الـ dll المصدر ؟؟

و بما اننا سنعترضها كالـ hook فبسهولة يمكن رصدها .

2- ألاحظ لما أستعمل فاحص للـ dll ما أنه يعطيني عنوان ثابت لمكان دالة ما (بداخل هدا الـ dll) ما تفسير دلك
لأنه عادة ؟ بكل تحميل او إعادة تحميل لتعليمة ما فإنه يأخذ Offset معين على حسب حالة الذاكرة؟؟

[محمد عبد العزيز]

1-
LoadLibrary تحمل المكتبة DLL لذاكرة البرنامج
GetProcAddress تعطي عنوان اي دالة من تلك المكتبة
2-
عند تحميل المكتبة للذاكرة قد يتم عمل relocations لتفهم اكثر كما قلت لك بردي السابق عليك بمعرفة بنية الملف التنفيذي Win32 PE وكيفية عمله
يمكن ان تبداء بروابط الرد #4 من موضوع كيف يتم ضغط الملفات التنفيدية ؟
والسلام عليكم

[TF6M]

شكرا ,,

هادا تعليق أحد الأخوى في منتدى آخر (ما رأيك؟؟):

تضع نقطة توقف على LoadLibrary ومن ثم تحفظ العنوان المسترجع في EAX (عنوان المكتبة بعد تحميلها الى الذاكرة) والذي سيحفظ في مكان ما, تقوم بوضع نقطة توقف عليه عند القراءة لانه سيستخدم فيما بعد مع GetProcAddress .

كنت أظن أنه يمكن دلك سواء بالدلفي أو بالأسمبلي ؟؟

+ في ما يخص المقال جاري المطالعة بارك الله فيك.

[محمد عبد العزيز]

تضع نقطة توقف على LoadLibrary ومن ثم تحفظ العنوان المسترجع في EAX (عنوان المكتبة بعد تحميلها الى الذاكرة) والذي سيحفظ في مكان ما, تقوم بوضع نقطة توقف عليه عند القراءة لانه سيستخدم فيما بعد مع GetProcAddress .

يتحدث عن تنقيح Debugging لمكتبة DLL
ما به ؟ او ما المشكل!

كنت أظن أنه يمكن دلك سواء بالدلفي أو بالأسمبلي ؟؟

يمكن عمل اي شيئ باي لغة

[TF6M]

شكرا تم تنفيذ الدرس بنجاح و بكل سهولة ,,

ممكن تضع سلسلة دروس في مجال برمجة الدريفر ؟؟ أو على أقل توضيحات أكثر .

[khiro.alg]

السلام عليكم
بارك الله فيك أخي عزيز
نادرةهي المواضيع مثل هاته
وأتمنى أن أرى المزيد
سأعيد المراجعة

[mohamed49]

بارك الله فيك اخي وزادك علما حقيقة العالم العربي شحيح جدا من ناحية هذه المواضيع المماثلة بخصوص ردك هنا
تعمل Hook لعدد كبير من الدوال وعند استدعاءها اما تسمح بذلك او تمنعه حسب رغبة المستخدم
فقط فكر في الجملة 'استدعاء دالتي بدلا من دالة النظام' وانظر للافاق المتاحة
افهم من كلامك انك تستطيع مثلا ايقاف ملف عن نسخ نفسه الا بموافقة المستخدم هل يتم ذلك بعمل هوك على دالة معينة بحد ذاتها ام على البرنامج المسؤول وكيف تتم الطريقة
والسلام عليكم

[محمد عبد العزيز]

تستطيع مثلا ايقاف ملف عن نسخ نفسه الا بموافقة المستخدم. هل يتم ذلك بعمل هوك على دالة  معينة بحد ذاتها ام على البرنامج المسؤول وكيف...

وعليكم السلام
يمكن عمل ذلك بأكثر من طريقة، لمعرفة اسهلها ابحث في الانترنت عن Copy Hook Handlers