Чемоданчик хакера

Крис Касперски, ака мыщъх

Хакер, номер #094, стр. 094-036-5

После снятия дампа необходимо, как минимум, восстановить таблицу импорта, а иногда еще и таблицу перемещаемых элементов вместе с секцией ресурсов. Импорт лучше всего восстанавливать знаменитым Import REConstructor'ом, который вместе с ReloX'ом, восстанавливающим таблицу перемещаемых элементов и минимально работающим генетическим распаковщиком можно найти там же, где и PE-TOOLS: wave.prohosting.com/mackt/main.htm. А вот здесь лежит коллекция программ для восстановления таблицы ресурсов: www.wasm.ru/baixado.php?mode=tool&id=156. Если же ни одна из них не справится со своей задачей, то, скорее всего, поможет бесплатный Resource Binder: www.setisoft.com/ru/redirect.php?dlid=89

Редакторы ресурсов

Редактировать ресурсы приходится во многих случаях. Например, чтобы сменить текст диалогового окна, разблокировать элемент управления, перебить логотип и т. д. и т. п. Формально редактор ресурсов входит в каждый Windows-компилятор, в том числе и в Microsoft Visual Studio, вот только после редактирования ресурсов файл зачастую становится неработоспособным! Это потому что штатный редактор ресурсов к таким задачам неприспособлен!

Лучшим хакерским редактором был и остается коммерческий Restorator Resource Editor (www.bome.com/Restorator), который может практически все, что нужно и даже чуточку больше. Из бесплатных утилит хотелось бы отметить XN Resource Editor (www.wilsonc.demon.co.uk/d10resourceeditor.htm), написанный на совсем не хакерском языке DELPHI и распространяющийся в исходных текстах, что позволяет наращивать функционал программы, затачивая ее под свои собственные нужды (если ты знаешь DELPHI, конечно).

Шпионы

В основном используется два типа шпионов: шпионы Windows-сообщений и API-шпионы. Первые следят за посылкой сообщений окнам и элементам управления, вторые — за вызовом API-функций, включая функции, экспортируемые динамическими библиотеками, поставляемыми вместе с программой. Шпионаж — лучшее (и наиболее дешевое — в смысле усилий и времени) средство, позволяющее узнать, чем «дышит» защищенная программа.

Вполне достойный шпион сообщений входит в штатную поставку Microsoft Visual Studio и называется Spyxx.exe. Аналогичный по возможностям шпион, но только с открытыми исходными текстами, лежит на www.catch22.net/software/winspy.asp и совершенно бесплатен.

Лучшим из API-шпионов, на мой взгляд, является Kerberos от Рустема Фасихова (www.wasm.ru/baixado.php?mode=tool&id=313), который взялся за клавиатуру тогда, когда остальные шпионы перестали его устраивать. Тем не менее, о вкусах не спорят, и многие пользуются APISpy32 (таким же бесплатным, как и Kerberos), который можно раздобыть на www.internals.com. Впрочем, любой нормальный отладчик, такой как soft-ice и OllyDbg, можно настроить так, чтобы он выполнял функции API-шпиона, причем действуя по избирательному шаблону, избавляющему нас от просмотра многокилометровых листингов, генерируемых Kerberos'ом и APISpy32.

Мониторы

Чтобы узнать, к каким файлам или ветвям реестра обращается подопытная программа, достаточно воспользоваться файловым монитором (и монитором реестра, соответственно)