Eset - 3537

[pr0p4g4nd4]

spoteny budes dnes ty, ked budes obimat gauc novy

ty reseto! clovek ti nieco napise a ty to hned vyuzijes proti nemu

rozmysla iba v 1 a 0 , to je kok ... Jeden u nas v skole chodil stale v dlhom ciernom kozennom kabate, handsfree stale v jednom uchu ... podla mna pocuval sinusovku

podla mna pocuval p-cko, a pod tym kabatom si mastil vianocku/vyfuk

Hlavne je mat predstavivost a byt trosku dementny... (to bolo s urazkou)

aha, takze tu dementnost uz splnas - takze uz len v predstavivosti si precvicit

nobody knows who i'm ... ring 0 je smak, under the hood of THE hood ...

mamma mia, a ty r0 robis cez drivery alebo callgate-y?? 

Pravda. Kto si to mysli, jeho ego je ako bublina, velke ale prazdne.

asi ftaaak - ako sa hovori, imidz je nanic, KOFOLA! 

Mudro! Niet nad to, ked ti kamosi zavolaju, ze sa v ten vecer naskace do aut a ide sa do ulic A ty ozaj mozes, nie si daleko v prdeli za horizontom niekde!

asi ftaaaak, akurat ze nei auta ale pesibusy sa nastartuju - vykaprujueme sa do parku tam tam sa dame dole, pod obraz bozi - a nakoniec skocime na disco odpalit nejaky chickendance a nakoniec ist rano o 4-5 domov rozbity jako sykorka. TAK TOTO BY MI FAKT CHYBALO(aj ked nie len to)!! 

latino babe

ja skor nieco taketo -

Code: [Select]

http://www.dirtyangels.net/gallery.php

Ok, nebudem napinat, prezradim. Mna zobrali ako programatora C++ a tvrdili, ze pre programatorov nedrzia volne pozicie. Proste ked dojde niekto schopny tak ho zoberu a nejaku poziciu mu spravia na mieru.

a to kedy tvrdili?? ved ked robili tu ulohu(3537.sk), tak bola logika veci, ze niekoho aj zoberu predsa nie?

C++ FTW :-P
Schvalne by ma zaujimalo ako by si v masm robil nieco taketo (a hlavne ako dlho):

Code: [Select]

struct eventcomp {
bool operator() (const int &i1, const int &i2) {
lint tc1 = ship[i1+1].first - ship[i1].first, tm1 = ship[i1].second - ship[i1+1].second;
lint tc2 = ship[i2+1].first - ship[i2].first, tm2 = ship[i2].second - ship[i2+1].second;
cut
cut
cut
swap(number[pos], number[pos+1]);
if (pos-1 >= 0 && ends_before(ship[pos], ship[pos-1]))
event.insert(pos-1);
if (pos+2 < n && ends_before(ship[pos+2], ship[pos+1]))
event.insert(pos+1);
}


nooo, take nieco by som nikdy nepravil, lebo tento kod mne nehovori NIC! takze tak, ja som hrdy assemblerista - ale, nebol by problem to skompilovat, zistit co je to a spravit z toho ovela rychlejsi kod

btw, sa cudujem preco beru ceckarov ked v asme by bol kod ovela rychlejsi a lepsi(kompaktnejsi) - napr ako to maju v grisofte(analytik + coder), nieco poreverzujes a hned a zbastlis tool na odstranenie skodliveho kodu

Dik, vyzera to husto.

aale, dokopy tam nic nie je - v LordPE odstranis tls tablu a v kode potom odstranis tri instrukcie v sn rutine - ak sa nemylim je to trap flag detekcia cez EFLAGS asi - nie som si isty, moc som to nekukal

Praveze presne naopak, zaviedli pravidlo ze ak to neuploadnes z premium konta, tak sa to da stiahnut len 10 krat.

tak o tomto som ani netusil, zda sa ze rapid ide dolu vodou - esteze mame rapid.de(alebo moju oblubenu iskladka.cz)

Uz ked sme pritom, robi sa aj ring -1 re? Napriklad z hypervizora, alebo sledovanim stavu virtualnej masiny v ktorej spustim kod.

"ring -1"? a to take aj je?

to MMx:
presne ako pises... niektore veci sa v cistom asm robia fakt velmi tazko a hlavne zdlhavo... Masm je sice silna zbran, ale na vacsinu veci su asi vhodnejsie nastroje...

Tym samozrejme nechcem nijak znehodnocovat umenie programovania v masm....

pokial zrovna nerobis nieco ako adobe photoshop alebo nejake hry, tak sa da asm(masm) pouzit vzdy! 

[MMx]

a to kedy tvrdili?? ved ked robili tu ulohu(3537.sk), tak bola logika veci, ze niekoho aj zoberu predsa nie?

Hm, tym som myslel, ze zoberu tolko programatorov, kolko schopnych ludi sa ukaze, proste nedali si dopredu ziadne limity.

nooo, take nieco by som nikdy nepravil, lebo tento kod mne nehovori NIC! takze tak, ja som hrdy assemblerista - ale, nebol by problem to skompilovat, zistit co je to a spravit z toho ovela rychlejsi kod

Ach tak, manazerske zhrnutie: Jeden problem je, ze pouzivam STL, co je kniznica plna templatov. To vlastne znamena, ze zakazdym ked z nej pouzijem nejaku datovu strukturu, tak jej kod sa znovu prekompiluje s parametrami, ktore tomu templatu dam. Cize do asm by si musel prepisovat netrivialnu cast kniznice. Druhy problem je ten dlhy aritmeticky vyraz, predpokladam ze by si potreboval velky kus papiera aby si nepozabudal co kde mas ;-)

btw, sa cudujem preco beru ceckarov ked v asme by bol kod ovela rychlejsi a lepsi(kompaktnejsi) - napr ako to maju v grisofte(analytik + coder), nieco poreverzujes a hned a zbastlis tool na odstranenie skodliveho kodu

Moj tip je, ze rychlost kodu je z velkej casti nepodstatna. To co spomaluje napriklad scannovanie virusov bude rychlost disku. A napriklad pri algoritmickych problemoch su dolezite veci ako citatelnost kodu, dostupnost kniznic, ako rychlo to vies napisat.

aale, dokopy tam nic nie je - v LordPE odstranis tls tablu a v kode potom odstranis tri instrukcie v sn rutine - ak sa nemylim je to trap flag detekcia cez EFLAGS asi - nie som si isty, moc som to nekukal

Neee, neprezradzaj. Ale uz ked spoilujeme, tak ja som mal pocit, ze si to spusta dalsi proces, ktory funguje ako jeho debugger. A nejakym sposobom spolu komunikuju, lebo ak ten debugger vypnem, tak aj ten druhy proces sa vypne.

"ring -1"? a to take aj je?

No neviem, to som si prave vymyslel ;-) Ale nevidim dovod preco by nemalo ist nainstalovat debugger ako hypervisor. A nechce sa mi verit ze by to nikto predo mnou nevymyslel.

pokial zrovna nerobis nieco ako adobe photoshop alebo nejake hry, tak sa da asm(masm) pouzit vzdy! 

Jedna vec je ze to ide, druha vec je ci pouzivas kladivo spravnej velkosti ;-)

[Zodiac]

ten ring1 naozaj je a je aj dvojka

[DARKER]

Ring 0 - Program kt moze robit vsetko so systemom
Ring 1,2 - su pouzite len obcas, mozu sa konfigurovat s roznymi levelmi pristupu
Ring 3  - moze napr. hocikedy spadnut bez toho aby ovplyvnil zvysok systemu

[Master]

Ring -1 existuje ve Vistach. Presny popis k nemu nemam, ale je to pry super privilegovany kernel a ma do nej pristup pouze jadro Vist.

[pr0p4g4nd4]

Ach tak, manazerske zhrnutie: Jeden problem je, ze pouzivam STL, co je kniznica plna templatov. To vlastne znamena, ze zakazdym ked z nej pouzijem nejaku datovu strukturu, tak jej kod sa znovu prekompiluje s parametrami, ktore tomu templatu dam. Cize do asm by si musel prepisovat netrivialnu cast kniznice. Druhy problem je ten dlhy aritmeticky vyraz, predpokladam ze by si potreboval velky kus papiera aby si nepozabudal co kde mas ;-)

hmmm, no popichi, aspom sa moc nenarobis vymyslanim algoritmov prepisovat netrivialnu cast kniznice?? no to by zrejme nebolo treba, stacilo by trosku si prestudovat dany kod kniznice, a ked by som pochopil kod tak si spravim vlastny kwazi pseudo kod, kt by robil to iste.

kus papiera ani nie, ja robim vsetko v hlave + v notepade - nic viac nic menej mi na programovanie nie je treba.

Moj tip je, ze rychlost kodu je z velkej casti nepodstatna. To co spomaluje napriklad scannovanie virusov bude rychlost disku. A napriklad pri algoritmickych problemoch su dolezite veci ako citatelnost kodu, dostupnost kniznic, ako rychlo to vies napisat.

no nod32 bol vzdy tym znamy, ze bol najrychlesi v scannovani suborov - a ta rychlost bola v tom ze kod bol rychly a nie tym ze disk bol rychly asi cize, tipujem ze esetu ide o rychlost. no myslim si, ze pri MASMe moc prehladnost nehrozi - hlavne mne co neviem pouzivat tie rozne "IF_THEN_ELSE" halusky -  ja vsetko robim riadocek po riadocku - cize je to neprehladne ako svina. ale co sa tyka rychlosti, nie je problem - staci mat nejaku masm kostru nejakeho kodu a zu len prisposobovat vstupne data - napr v grisofte chcu ludi co vedia robit unpackery na packery alebo tooly na odstranovanie virov - to v masme nie je najmensi problem, napr v najhorsom pripade si na nete najdes masm kostu na nejaky unpacker upravis ho a mas - a nejaky virremoval tool v masme zbuchas za par hodin(bez akejkolvek kostry).

Neee, neprezradzaj. Ale uz ked spoilujeme, tak ja som mal pocit, ze si to spusta dalsi proces, ktory funguje ako jeho debugger. A nejakym sposobom spolu komunikuju, lebo ak ten debugger vypnem, tak aj ten druhy proces sa vypne.

heh, sorry uz som prezradil vsetko lebo to co pises sa odstrani tym ze odstranis tls tablu(+ ten trap flag tam este je).

Jedna vec je ze to ide, druha vec je ci pouzivas kladivo spravnej velkosti ;-)

bohuzial(alebo nastastie?), ja viem pouzivat len kladivo najtazsieho kalibru, cize mne nieco ako c(nastastie) nehrozi!  

///////////

ozaj, ked sme spominali na ludi, kt robia v asme(masme) tak sme zabudli na MazeGen-a. MazeGen je majster instrukcii, obfuscation, VM.. proste clovek, kt nikto z nas nesiaha ani po cicinu! 

[Kockatá hlava]

ozaj, ked sme spominali na ludi, kt robia v asme(masme) tak sme zabudli na MazeGen-a. MazeGen je majster instrukcii, obfuscation, VM.. proste clovek, kt nikto z nas nesiaha ani po cicinu! 

Cicinu tahám po zemi (normálně teda nosím omotanou kolem pasu), takže po mě sahají i úplný nuly!

Jinak hardwarově existuje fakt jenom ring 0 až 3. Pokud mají Visty něco, čemu se říká ring "-1", tak je to jenom emulovaný softwarově.

Ring -1 se občas používá pro zjednodušení pojmenování módu VMX root operace, kde nestačí jenom ring 0, ale navíc musí být aktivní "VMX root operation", která se stejně zapíná prostě na ring 0 pomocí VMXON.

[Master]

S tim emulovanim Ring -1 se hadat nebudu, vazne jsem to nestudoval nejak vice.

[llAmElliK]

Jinak hardwarově existuje fakt jenom ring 0 až 3. Pokud mají Visty něco, čemu se říká ring "-1", tak je to jenom emulovaný softwarově.


Presne tak

[STMR]

pr0p4g4nd4: A na zaver treba zmenit byte na adrese 004003FF. Taktiez nejde o konstantu. Tento byte bude treba
vypocitat z 27 bytov z adresy 004003E4 az 004003FE(prvy byte na adrese 004003E4 sme menili vyssie):

Mohu se zeptat kde jsi prisel na to, ze je to soucet X bytu? To jsi rozebral UPX? Dik za odpoved

[Z!L0G80]

btw.k uspesnemu rozpakovani pomoci upx -d staci pouze smenit nazvy sekci a doplnit UPX! x.xx verzi viz. moje analyza

[pr0p4g4nd4]

Mohu se zeptat kde jsi prisel na to, ze je to soucet X bytu? To jsi rozebral UPX? Dik za odpoved

nie priamo upx, ale jeden plugin do toolu menom "Pe Tools" - tento plugin sluzi na, zobrazenie informacii o upx packovanom subore, a okrem ineho vie aj opravit hlavicku v pripade, ze bola zmenena - takze som tento plugin zanalyzoval, a ziskane vedomosti som pouzil na rucnu opravu hlavicky 

[STMR]

nie priamo upx, ale jeden plugin do toolu menom "Pe Tools" - tento plugin sluzi na, zobrazenie informacii o upx packovanom subore, a okrem ineho vie aj opravit hlavicku v pripade, ze bola zmenena - takze som tento plugin zanalyzoval, a ziskane vedomosti som pouzil na rucnu opravu hlavicky 

Skvely, uz se mi to podarilo opravit (teda pres ten plugin). ThX

[pr0p4g4nd4]

Skvely, uz se mi to podarilo opravit (teda pres ten plugin). ThX

no ten postup, ako ho opisujem v tutoriale na 100 percent funguje - ale pouzitie toho plugina je tiez moznost ako sa dostat, k unpackovatelnemu(pomocou upx) suboru 

[STMR]

Kdyz jsou zkousel reverznout ten plugin tak se taky hodne dozvim o UPX