phungbaphu
29-04-14, 11:40 PM
Bài này mình viết đã lâu nay mới có chút thời gian ngồi up lại mấy cái ảnh để share cho anh em. Hy vọng nó giúp được gì đó. Cứ ném đá mình sẽ tiếp thu và học hỏi (:|
HOOK DLL BY OLLYDBG
Some Guys asked me. Man please hook DLL for me. I know some tool canna hook auto correctly but sometime it’s not working.Now I share my experience a bout hook dll into PE file “.EXE” MANUALLY
I mention two way to do it:
Use LordPe: <b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Advancetage: quickly and it load by PE loader on early
Disadvantage: I don’t how to add a DLL without function on this way so I thing I’t cannot be done :D
Open lord PE->Open HooK.dll [DLL what you need to hook int the PE file]
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Check if DLL have ever some function here?:
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Hoho there a 8 function on DLL and select fuction what you wanna add :D from DLL that also meaning you HOOK an DLL by call a Function from DLL
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Now we open PE file which will call function from Hook.dll
Then we open Main.exe and add Hook.dll by LordPE =>Directories=>Click “…” of Import table =>right click and Write:
DLL: DLL which you wanna hook
API:function which you wanna add
Click “+” =>Ok=>Ok=>Save mainhooked.exe :D Done
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
NOTE:THIS USEFULL IF THERE A SOME FUNCTION ON DLL
NOW WE GONNA ADD HOOK DLL WITH OLLYDBG
SCRIPT:
1.FIND: ENTRY POINT=>SAVE IT SOME WHERE
2.FIND:ADDRESS OF FUNCTION: LoadLibraryA=>SAVE ADDRESS SOME WHERE
3.FIND: A LOCATION THAT HAVE ZERO BYTE TO ADD OPCODE+NULL TERMINATE STRING
THAT IS DLL NAMES=>SAVE ADDRESS SOME WHERE
4.WRITE ASM CODE
5.Get the Address Of First Push what you write [in general it’s first instruction what you writing and choose it as a new EntryPoint]
SAVE WITH OLLYDBG
6.USE LORDPE CHANGE ENTRY POINT OF PE FILE=>SAVE AND ENJOY :D
OK LET’S GO
1. FIND: ENTRY POINT=>SAVE IT SOME WHERE
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Right click =>Edit=>Copy address:
My Entry point = 0987C052
2.FIND:ADDRESS OF FUNCTION: LoadLibraryA=>SAVE ADDRESS SOME WHERE
Right click =>Search for name
Hit some key in sequence: LoadLibraryA
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Right Click => copy to clipboard =>Address
My LoadLibraryA address= 00D20284
3.FIND: A LOCATION THAT HAVE ZERO BYTE TO ADD OPCODE+NULL TERMINATE STRING
Scroll Down some offset hoho there a so much zerrobyte yam yam hoho delicious:
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Right click =>binary edit=>write hook.dll=>ok
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Move the mouse on Address beginning of string Hook.dll Right click =>edit=>copy address
My address Hook.dll is: 0987C077
4.WRITE ASM CODE
Move to byte zero location =>right click =>Assemble
=> push address off String Hook.dll=>Ok
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
=>Call Address of LoadLibraryA what you found and saved
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
=>Jmp Adress of EntryPoint what you found and saved
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
5.Get the Address Of First Push what you write [in general it’s first instruction what you writing and choose it as a new EntryPoint
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
My new Entry is: 0987C085
SAVE WITH OLLYDBG
Select everything which you’ve modified
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
RightClick=>Edit=>copy to executable=> RightClick=>Save File
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
6.USE LORDPE CHANGE ENTRY POINT OF PE FILE=>SAVE AND ENJOY :D
LORDPE=>open mainhooked.exe
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
You must be change the entry point to new entry point what we save last time :D
My new Entry is: 0987C085 hoho Wait it is RVA and we must convert to RawOffset
RawOffset=0987C085-400000=947C085
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Save
OK LET’S ENJOY LOL
Author:
phungbaphu
HOOK DLL BY OLLYDBG
Some Guys asked me. Man please hook DLL for me. I know some tool canna hook auto correctly but sometime it’s not working.Now I share my experience a bout hook dll into PE file “.EXE” MANUALLY
I mention two way to do it:
Use LordPe: <b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Advancetage: quickly and it load by PE loader on early
Disadvantage: I don’t how to add a DLL without function on this way so I thing I’t cannot be done :D
Open lord PE->Open HooK.dll [DLL what you need to hook int the PE file]
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Check if DLL have ever some function here?:
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Hoho there a 8 function on DLL and select fuction what you wanna add :D from DLL that also meaning you HOOK an DLL by call a Function from DLL
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Now we open PE file which will call function from Hook.dll
Then we open Main.exe and add Hook.dll by LordPE =>Directories=>Click “…” of Import table =>right click and Write:
DLL: DLL which you wanna hook
API:function which you wanna add
Click “+” =>Ok=>Ok=>Save mainhooked.exe :D Done
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
NOTE:THIS USEFULL IF THERE A SOME FUNCTION ON DLL
NOW WE GONNA ADD HOOK DLL WITH OLLYDBG
SCRIPT:
1.FIND: ENTRY POINT=>SAVE IT SOME WHERE
2.FIND:ADDRESS OF FUNCTION: LoadLibraryA=>SAVE ADDRESS SOME WHERE
3.FIND: A LOCATION THAT HAVE ZERO BYTE TO ADD OPCODE+NULL TERMINATE STRING
THAT IS DLL NAMES=>SAVE ADDRESS SOME WHERE
4.WRITE ASM CODE
5.Get the Address Of First Push what you write [in general it’s first instruction what you writing and choose it as a new EntryPoint]
SAVE WITH OLLYDBG
6.USE LORDPE CHANGE ENTRY POINT OF PE FILE=>SAVE AND ENJOY :D
OK LET’S GO
1. FIND: ENTRY POINT=>SAVE IT SOME WHERE
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Right click =>Edit=>Copy address:
My Entry point = 0987C052
2.FIND:ADDRESS OF FUNCTION: LoadLibraryA=>SAVE ADDRESS SOME WHERE
Right click =>Search for name
Hit some key in sequence: LoadLibraryA
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Right Click => copy to clipboard =>Address
My LoadLibraryA address= 00D20284
3.FIND: A LOCATION THAT HAVE ZERO BYTE TO ADD OPCODE+NULL TERMINATE STRING
Scroll Down some offset hoho there a so much zerrobyte yam yam hoho delicious:
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Right click =>binary edit=>write hook.dll=>ok
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Move the mouse on Address beginning of string Hook.dll Right click =>edit=>copy address
My address Hook.dll is: 0987C077
4.WRITE ASM CODE
Move to byte zero location =>right click =>Assemble
=> push address off String Hook.dll=>Ok
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
=>Call Address of LoadLibraryA what you found and saved
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
=>Jmp Adress of EntryPoint what you found and saved
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
5.Get the Address Of First Push what you write [in general it’s first instruction what you writing and choose it as a new EntryPoint
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
My new Entry is: 0987C085
SAVE WITH OLLYDBG
Select everything which you’ve modified
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
RightClick=>Edit=>copy to executable=> RightClick=>Save File
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
6.USE LORDPE CHANGE ENTRY POINT OF PE FILE=>SAVE AND ENJOY :D
LORDPE=>open mainhooked.exe
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
You must be change the entry point to new entry point what we save last time :D
My new Entry is: 0987C085 hoho Wait it is RVA and we must convert to RawOffset
RawOffset=0987C085-400000=947C085
<b><font color=red>[Chỉ có thành viên mới xem link được. <a href="register.php"> Nhấp đây để đăng ký thành viên......</a>]</font></b>
Save
OK LET’S ENJOY LOL
Author:
phungbaphu