Unauffindbar backdoor auf EP datei

[mx1238]

Hallo , erste , meine deutsch nicht so gut ist , zweite mein IT Kenntnisse sehr einfach ist (ich lerne selbst..), .

so , bin ich seit zwei tage die versuche diese Übung zu machen aber ohne Erfolg.... .

Meine Rechner ist ein x64 Bit , mein Host ist ein Linux und in VirtualBox have ein windows 7 .

Mit Lord PE , have ich add eine neu Abschnitt mit der Name "hello" gegeben , und habe 1000 Hex auf Virtual size und Raw size angehaftet , wie auf die Beispiel stehe ...
dann , mit HxD Hex Editor habe 1000 Hex gegeben .
dann mit OllyDbg , wenn versuche sie zu öffnen bekomme dieser Warnung : Unable to start file.....

ich habe diese Probleme gelöst, mein Fehler war wie ich diesen Hexen mit HxD Editor angehaftet habe.....(sorry, aber das ist meine zweite mal der ich mit EP Datei arbeite..) .
Jetzt mein Probleme ist mit Hijack Execution Flow , der Author sagt "We copy the starting address of .hello section 0047E000" , aber wie ich auf dem Bild sehe , der .hello section , Anfang mit 004002C8 , kann jemand sage wo diese zahl kommt.....


kann Bitte jemand mir Hilfe um diese Probleme zu Lösung , danke !

[mx1238]

so , ich möchte glaube das er Fehler mit der Nummer gemacht hat ...... , In meine PEHeaders habe das , aber wenn ich drück auf PE header bekommen das, dann mache ich was er sagt , und bekomme das .ich denke das ich falsch add habe , aber ich weiss nicht wo.... , so , ich habe geschafft !, ich weiss wo die Nummer 0047E000 kommt.. sie kommt von der VirtualAdresse von "hello" , er hat nach die 004 die Fünf Ziffer von seiner VirtualAdresse gegeben....ich machen weiter...

[gORDon_vdLg]

4002a8 ist die Adresse im PE Header wo der Name ".hello" als Text steht. Dies ist nicht die Startadresse der Section. In LordPE siehst du in der Section Table unter VOffset den Wert 0007E000, das addierst du zur ImageBase 00400000 (Sieht man in LordPE im 1. Fenster). Addiert ergibt das 0047E000 und dies ist die virtuelle Startadresse deiner Section wie du sie im Ollydbg findest (STRG+G) wo du den Shellcode einfügen musst.

[mx1238]

Erste viele Dank für deine Antwortet ! , in meine LordPE ich habe keine 0047E000 sonder 63000 , beim 1, Fenster ich sehe keine 00400000 .. sorry... jetzt habe ich ganz oben auf meine Fenster die 00400000 gesehen...... , hast du Lust um mir zu Hilfe ?....ich bin ganz neu mit diesen Sachen ....

[gORDon_vdLg]

Hier einmal ein Beispiel wo die ImageBase zu sehen ist. Diese Adresse kann bei dir eine andere sein, nimm den Wert der bei dir steht. 63000 kommt bei dir dadruch zu stande weil die letzte Section (.rsrc) vor deiner (.hello) das VOffset 58000 hat und als VSize AA78. AA78 wird aufgerundet zu B000 (Sections sind im Speicher immer ein vielfaches von 0x1000), wenn du 0x58000 + 0xB000 rechnest ergibt sich 0x63000 womit deine neue Section sich im Speicher direkt hinter der letzten alten Section befindet.

[mx1238]

Jetzt bin hier , wie bekomme das Fenster wo ich die Hex Nummer einfügen soll ? wie auf dem Fenster Added shellcode at the start of .hello section . Mit Msfvenom habe keine Hex (x83\...) Nummer bekommen sonder, fce8820000006089e531c0648...... Vielleicht habe ich bekomme weil ich ein Rechner x64 Bits habe ??

[gORDon_vdLg]

Das ist richtig, auf dem Bild siehst du PUSHAD / PUSHFD welches du selbst einfügen musst, danach ab dem CLD siehst du auf der linken Seite FC E8 820000... genau das was du gepostet hast. Nur die ersten beiden Instruktionen sind anders weil die selbst eingefügt werden. Nachdem du den Shellcode eingefügt hast musst du das in umgekehrter Reihenfolge wieder einfügen, das ist das was in dem Artikel beschrieben wird:

PUSHAD
PUSHFD
Shellcode....
POPFD
POPAD
Restore Execution Flow...

[mx1238]

hallo , Entschuldigung warum ich dir frage noch...., so meine Probleme , so , ich habe PUSHAD / PUSHFD mit Assemble Eingefügen ...., habe gleich mit CLD gemacht , aber auf der linken Seite ich sehe 00463002 FC......

[gORDon_vdLg]

Das sollst du da ja auch selbst eintragen.

[mx1238]

Wenn ich in Assemble schreibe CLD E8 820000 , sagst; Unknown Identifier , sorryyyyyyy , ich habe Falsch verstandet mit AB dem CLD , Vielleicht ist nach CLD ?..... , sorry ist AB... . Beim Dritte Spaltung Rechte Maus + Binary + Edit , dann habe meine Codec von Msfvenom Eingefügen ...

Was meinst mit....Restore Execution Flow ? , er meist das ich Ausführung Wiederstellen werde , aber was meinst mit das ??

Bei Speichen habe auch Probleme ...wenn ich gebe Rechte Maus + copy to executable , bekomme nur Selection , nicht All Changes .Deshalb kann nur Speichen eine Adresse......ich habe eine Lösung gefunden , ich habe mit dem Maus alles auswählen , dann wenn das andere Fenster geöffnet hat , habe alles dort ....

Aber als ich wieder Öffnet der 7zFMAddedSectionHijacked.exe Datei , kann nicht finde , At the end of the shellcode we see an opcode CALL EBP which terminates the execution of the program after shellcode is executed