OldSchoolHack

Registrieren / Anmelden Deutsch

Adresse einer Methode finden - Hooking


icon Adresse einer Methode finden - Hooking #1

Anmeldungsdatum: Okt 2012

Beiträge: 32

Benutzer-Bewertung:

3 positiv
0 negativ
Hey,
ich habe gerade ein Problem. Ich suche die Adresse einer Methode aber kann sie nicht finden. Alles was ich weiß, ist wie die Klasse aussieht, in der sich die Methode befindet, wie die Mehtode heißt, wie sie aussieht und in welcher dll sich die Klasse befindet. Exportiert wurde sie auch nicht. Mit IDA konnte ich in dem Funktions-Tab auch nichts brauchbares finden.

Kann mir jemand sagen wie ich die Adresse der Methode finden kann?

MfG
M4x1m

icon #2

Anmeldungsdatum: Mär 2011

Beiträge: 978

Benutzer-Bewertung:

89 positiv
6 negativ
wenn du weißt, dass in der methode bestimmte sachen, wie z.b. strings sind erleichtert das die suche.
wenn die funktion virtuell ist, kann das auch helfen, zeig uns mal alles was du weißt.

__________________

http://www.abload.de/img/signfj5o.png
Spoiler
Vids:
Zitate:
Spoiler

Zitat von xst
Vater KN4CK3R, der du hängst im irc, geheiligt werde dein Botnet, dein P7 v1.337 komme, die Bannwelle geschehe, wie in CS:S als auch in CS:GO, führe uns nicht in Versuchung, sondern erlöse uns von all dem c+p-Shit.
Zitat von f4gsh0t_h4x
VAC ist an,immer,überall
Zitat von gibson.w
Ich mag braune Würstchen
Zitat von irc
<SilverDeath> KN4CK3R bistn nub
<~KN4CK3R> kk
Zitat von irc
<OrkSchamane> das prob is das viele dieser eig. recht guten bücher englisch sind ...
<OrkSchamane> da habe ich's ja doppelt schwer
<~KN4CK3R> falsch
<~KN4CK3R> das prob is dass du programmieren willst ohne englisch zu können
Zitat von irc
<SilverDeath> Ich schwöre dir Dr_Pepper Ich bumms deine Mutter tot Mann!
<Dr_Pepper> danke.
<SilverDeath> bitte
Zitat von irc
<~KN4CK3R> dann liegts wenigstens an mir
<~KN4CK3R> nur noch rausfinden warum -.-
<SilverDeath> ja sicher
<SilverDeath> an wem sonst?
* You were kicked by KN4CK3R (kick)
Zitat von Dr_Pepper
ihr seit beide dumm
Tutorials:
Releases:
Gifs:
Spoiler
http://www.abload.de/img/uberesp2sgul2.gif
https://i.imgur.com/Z5VQMrV.gif
http://www.abload.de/img/minesweeperzgaef.gif
icon #3

Anmeldungsdatum: Okt 2012

Beiträge: 32

Benutzer-Bewertung:

3 positiv
0 negativ
Das ist die Klasse. Ich suche die Adresse der Methode GetSerial. Die dazugehörige cpp-Datei hab ich nicht.
CPP Code:
  1. class CNet
  2. {
  3. public:
  4. enum ENetworkUsageDirection
  5. {
  6. STATS_INCOMING_TRAFFIC = 0,
  7. STATS_OUTGOING_TRAFFIC = 1
  8. };
  9.  
  10. virtual void ResetNetwork ( void ) = 0;
  11. virtual bool StartNetwork ( const char* szServerHost, unsigned short usServerPort, const char* szServerPassword = NULL ) = 0;
  12. virtual void StopNetwork ( void ) = 0;
  13.  
  14. virtual void SetFakeLag ( unsigned short usPacketLoss, unsigned short usMinExtraPing, unsigned short usExtraPingVariance, int iKBPSLimit ) = 0;
  15.  
  16. virtual bool IsConnected ( void ) = 0;
  17.  
  18. virtual void DoPulse ( void ) = 0;
  19.  
  20. virtual void RegisterPacketHandler ( PPACKETHANDLER pfnPacketHandler ) = 0;
  21.  
  22. virtual NetBitStreamInterface* AllocateNetBitStream ( void ) = 0;
  23. virtual void DeallocateNetBitStream ( NetBitStreamInterface* bitStream ) = 0;
  24. virtual bool SendPacket ( unsigned char ucPacketID, NetBitStreamInterface* bitStream, NetPacketPriority packetPriority, NetPacketReliability packetReliability, ePacketOrdering packetOrdering = PACKET_ORDERING_DEFAULT ) = 0;
  25.  
  26. virtual void SetClientPort ( unsigned short usClientPort ) = 0;
  27. virtual const char * GetConnectedServer ( bool bIncludePort = false )=0;
  28.  
  29. virtual bool GetNetworkStatistics ( NetStatistics* pDest ) = 0;
  30. virtual const SPacketStat* GetPacketStats ( void ) = 0;
  31.  
  32. virtual int GetPing ( void ) = 0;
  33. virtual unsigned long GetTime ( void ) = 0;
  34.  
  35. virtual const char * GetLocalIP ( void ) = 0;
  36. virtual void GetSerial ( char* szSerial, size_t maxLength ) = 0;
  37.  
  38. virtual unsigned char GetConnectionError ( void ) = 0;
  39. virtual void SetConnectionError ( unsigned char ucConnectionError ) = 0;
  40.  
  41. virtual unsigned char GetImmediateError ( void ) = 0;
  42. virtual void SetImmediateError ( unsigned char ucImmediateError ) = 0;
  43.  
  44. virtual void Reset ( void ) = 0;
  45.  
  46. virtual CNetHTTPDownloadManagerInterface* GetHTTPDownloadManager ( EDownloadModeType iMode ) = 0;
  47.  
  48. virtual void SetServerBitStreamVersion ( unsigned short usServerBitStreamVersion ) = 0;
  49. virtual unsigned short GetServerBitStreamVersion ( void ) = 0;
  50.  
  51. virtual void GetStatus ( char* szStatus, size_t maxLength ) = 0;
  52. virtual unsigned short GetNetRev ( void ) = 0;
  53. virtual unsigned short GetNetRel ( void ) = 0;
  54.  
  55. virtual const char* GetNextBuffer ( void ) = 0;
  56. virtual const char* GetDiagnosticStatus ( void ) = 0;
  57. virtual void UpdatePingStatus ( const char* szStatus, ushort& usDataRef ) = 0;
  58.  
  59. virtual bool VerifySignature ( const char* pData, unsigned long ulSize ) = 0;
  60.  
  61. virtual void ResetStub ( DWORD dwType, ... ) = 0;
  62. virtual void ResetStub ( DWORD dwType, va_list ) = 0;
  63.  
  64. virtual const char* GetCurrentServerId ( bool bPreviousVer ) = 0;
  65. virtual bool CheckFile ( const char* szType, const char* szFilename ) = 0;
  66.  
  67. virtual uint GetExtendedErrorCode ( void ) = 0;
  68. virtual void SetTimeoutTime ( uint uiTimeoutTime ) = 0;
  69.  
  70. virtual bool ValidateBinaryFileName ( const char* szFilename ) = 0;
  71. virtual CBinaryFileInterface* AllocateBinaryFile ( void ) = 0;
  72. };
icon #4

Anmeldungsdatum: Mär 2011

Beiträge: 978

Benutzer-Bewertung:

89 positiv
6 negativ
ist es dir möglich an ein CNet objekt heranzukommen, oder weißt du die adresse einer beliebigen funktion von CNet, oder einen string der in einer beliebigen der funktionen benutzt wird?

__________________

http://www.abload.de/img/signfj5o.png
Spoiler
Vids:
Zitate:
Spoiler

Zitat von xst
Vater KN4CK3R, der du hängst im irc, geheiligt werde dein Botnet, dein P7 v1.337 komme, die Bannwelle geschehe, wie in CS:S als auch in CS:GO, führe uns nicht in Versuchung, sondern erlöse uns von all dem c+p-Shit.
Zitat von f4gsh0t_h4x
VAC ist an,immer,überall
Zitat von gibson.w
Ich mag braune Würstchen
Zitat von irc
<SilverDeath> KN4CK3R bistn nub
<~KN4CK3R> kk
Zitat von irc
<OrkSchamane> das prob is das viele dieser eig. recht guten bücher englisch sind ...
<OrkSchamane> da habe ich's ja doppelt schwer
<~KN4CK3R> falsch
<~KN4CK3R> das prob is dass du programmieren willst ohne englisch zu können
Zitat von irc
<SilverDeath> Ich schwöre dir Dr_Pepper Ich bumms deine Mutter tot Mann!
<Dr_Pepper> danke.
<SilverDeath> bitte
Zitat von irc
<~KN4CK3R> dann liegts wenigstens an mir
<~KN4CK3R> nur noch rausfinden warum -.-
<SilverDeath> ja sicher
<SilverDeath> an wem sonst?
* You were kicked by KN4CK3R (kick)
Zitat von Dr_Pepper
ihr seit beide dumm
Tutorials:
Releases:
Gifs:
Spoiler
http://www.abload.de/img/uberesp2sgul2.gif
https://i.imgur.com/Z5VQMrV.gif
http://www.abload.de/img/minesweeperzgaef.gif
icon #5

Anmeldungsdatum: Okt 2012

Beiträge: 32

Benutzer-Bewertung:

3 positiv
0 negativ
Die Methoden GetNetRev() und GetNetRel() werden exportiert, also kann ich deren Adresse per IDA nachschauen.
icon #6

Anmeldungsdatum: Mär 2011

Beiträge: 978

Benutzer-Bewertung:

89 positiv
6 negativ
gut, da die funktionen virtuell sind, sind sie in einer vtable verzeichent, lies dir mal mein vtable tut durch:
https://www.oldschoolhack.me/forum/tutorials/9736,tutorial-vtables.html

wenn du fragen hast, frag.

kannst auch mal die dll hochladen.

__________________

http://www.abload.de/img/signfj5o.png
Spoiler
Vids:
Zitate:
Spoiler

Zitat von xst
Vater KN4CK3R, der du hängst im irc, geheiligt werde dein Botnet, dein P7 v1.337 komme, die Bannwelle geschehe, wie in CS:S als auch in CS:GO, führe uns nicht in Versuchung, sondern erlöse uns von all dem c+p-Shit.
Zitat von f4gsh0t_h4x
VAC ist an,immer,überall
Zitat von gibson.w
Ich mag braune Würstchen
Zitat von irc
<SilverDeath> KN4CK3R bistn nub
<~KN4CK3R> kk
Zitat von irc
<OrkSchamane> das prob is das viele dieser eig. recht guten bücher englisch sind ...
<OrkSchamane> da habe ich's ja doppelt schwer
<~KN4CK3R> falsch
<~KN4CK3R> das prob is dass du programmieren willst ohne englisch zu können
Zitat von irc
<SilverDeath> Ich schwöre dir Dr_Pepper Ich bumms deine Mutter tot Mann!
<Dr_Pepper> danke.
<SilverDeath> bitte
Zitat von irc
<~KN4CK3R> dann liegts wenigstens an mir
<~KN4CK3R> nur noch rausfinden warum -.-
<SilverDeath> ja sicher
<SilverDeath> an wem sonst?
* You were kicked by KN4CK3R (kick)
Zitat von Dr_Pepper
ihr seit beide dumm
Tutorials:
Releases:
Gifs:
Spoiler
http://www.abload.de/img/uberesp2sgul2.gif
https://i.imgur.com/Z5VQMrV.gif
http://www.abload.de/img/minesweeperzgaef.gif
icon #7

Anmeldungsdatum: Okt 2012

Beiträge: 32

Benutzer-Bewertung:

3 positiv
0 negativ
Ich habe mir dein Tutorial angeschaut und auch das Tutorial mit dem Hooking, wo du VTables verwendest. Das dumme ist nur, dass die Namen der Methoden wohl verschlüsselt sind, da ich nur solche Namen habe:

Zitat
[...]
sub_100DD53D                                                                              
sub_100DD547                                                                                            
sub_100DD54F                                                                                            
sub_100DD55A                                                                                            
sub_100DD565                                                                                            
sub_100DD570                                                                                            
sub_100DD57B                                                                                            
sub_100DD586                                                                                            
sub_100DD591                                                                                            
sub_100DD59A                                                                                            
sub_100DD5A2                                                                                            
sub_100DD5AD                                                                                            
sub_100DD5B8                                                                                            
sub_100DD5C5  
[...]
Wenn ich dann den VTable anschaue finde ich einige dieser Namen wieder. Wenn ich dann eine Cross-Referenz für den anfang des VTables suche komme ich an eine stelle, aber kann die Adresse nicht rauslesen, weil da keine angezeigt wird.
icon #8

Anmeldungsdatum: Mär 2011

Beiträge: 978

Benutzer-Bewertung:

89 positiv
6 negativ
Zitat von M4x1m
Ich habe mir dein Tutorial angeschaut und auch das Tutorial mit dem Hooking, wo du VTables verwendest. Das dumme ist nur, dass die Namen der Methoden wohl verschlüsselt sind, da ich nur solche Namen habe:

Zitat
[...]
sub_100DD53D                                                                              
sub_100DD547                                                                                            
sub_100DD54F                                                                                            
sub_100DD55A                                                                                            
sub_100DD565                                                                                            
sub_100DD570                                                                                            
sub_100DD57B                                                                                            
sub_100DD586                                                                                            
sub_100DD591                                                                                            
sub_100DD59A                                                                                            
sub_100DD5A2                                                                                            
sub_100DD5AD                                                                                            
sub_100DD5B8                                                                                            
sub_100DD5C5  
[...]
Wenn ich dann den VTable anschaue finde ich einige dieser Namen wieder. Wenn ich dann eine Cross-Referenz für den anfang des VTables suche komme ich an eine stelle, aber kann die Adresse nicht rauslesen, weil da keine angezeigt wird.

in der vtable sollte die 18. funktion deine GetSerial sein, wenn ich mich nicht verzählt habe

__________________

http://www.abload.de/img/signfj5o.png
Spoiler
Vids:
Zitate:
Spoiler

Zitat von xst
Vater KN4CK3R, der du hängst im irc, geheiligt werde dein Botnet, dein P7 v1.337 komme, die Bannwelle geschehe, wie in CS:S als auch in CS:GO, führe uns nicht in Versuchung, sondern erlöse uns von all dem c+p-Shit.
Zitat von f4gsh0t_h4x
VAC ist an,immer,überall
Zitat von gibson.w
Ich mag braune Würstchen
Zitat von irc
<SilverDeath> KN4CK3R bistn nub
<~KN4CK3R> kk
Zitat von irc
<OrkSchamane> das prob is das viele dieser eig. recht guten bücher englisch sind ...
<OrkSchamane> da habe ich's ja doppelt schwer
<~KN4CK3R> falsch
<~KN4CK3R> das prob is dass du programmieren willst ohne englisch zu können
Zitat von irc
<SilverDeath> Ich schwöre dir Dr_Pepper Ich bumms deine Mutter tot Mann!
<Dr_Pepper> danke.
<SilverDeath> bitte
Zitat von irc
<~KN4CK3R> dann liegts wenigstens an mir
<~KN4CK3R> nur noch rausfinden warum -.-
<SilverDeath> ja sicher
<SilverDeath> an wem sonst?
* You were kicked by KN4CK3R (kick)
Zitat von Dr_Pepper
ihr seit beide dumm
Tutorials:
Releases:
Gifs:
Spoiler
http://www.abload.de/img/uberesp2sgul2.gif
https://i.imgur.com/Z5VQMrV.gif
http://www.abload.de/img/minesweeperzgaef.gif
icon #9

Anmeldungsdatum: Okt 2012

Beiträge: 32

Benutzer-Bewertung:

3 positiv
0 negativ
Achso, okay. Aber ich bekomme den blauen Opcode immernoch nicht angezeigt :/ Muss ich das einstellen?
Noch ne Frage: Ist es egal, ob ich die erste oder die zweite Cross-Referenz nehme?

//EDIT:
Hab den Opcode im Hex View gefunden  
icon #10

Anmeldungsdatum: Mär 2011

Beiträge: 978

Benutzer-Bewertung:

89 positiv
6 negativ
nicht unbedingt, guck mal ob der 18. eintrag auf verschiedene funktionen zeigt.

kannst dir opcodes anzeigen lassen unter options->General-> number of opcode bytes oder so.

__________________

http://www.abload.de/img/signfj5o.png
Spoiler
Vids:
Zitate:
Spoiler

Zitat von xst
Vater KN4CK3R, der du hängst im irc, geheiligt werde dein Botnet, dein P7 v1.337 komme, die Bannwelle geschehe, wie in CS:S als auch in CS:GO, führe uns nicht in Versuchung, sondern erlöse uns von all dem c+p-Shit.
Zitat von f4gsh0t_h4x
VAC ist an,immer,überall
Zitat von gibson.w
Ich mag braune Würstchen
Zitat von irc
<SilverDeath> KN4CK3R bistn nub
<~KN4CK3R> kk
Zitat von irc
<OrkSchamane> das prob is das viele dieser eig. recht guten bücher englisch sind ...
<OrkSchamane> da habe ich's ja doppelt schwer
<~KN4CK3R> falsch
<~KN4CK3R> das prob is dass du programmieren willst ohne englisch zu können
Zitat von irc
<SilverDeath> Ich schwöre dir Dr_Pepper Ich bumms deine Mutter tot Mann!
<Dr_Pepper> danke.
<SilverDeath> bitte
Zitat von irc
<~KN4CK3R> dann liegts wenigstens an mir
<~KN4CK3R> nur noch rausfinden warum -.-
<SilverDeath> ja sicher
<SilverDeath> an wem sonst?
* You were kicked by KN4CK3R (kick)
Zitat von Dr_Pepper
ihr seit beide dumm
Tutorials:
Releases:
Gifs:
Spoiler
http://www.abload.de/img/uberesp2sgul2.gif
https://i.imgur.com/Z5VQMrV.gif
http://www.abload.de/img/minesweeperzgaef.gif
icon #11

Anmeldungsdatum: Jan 2009

Beiträge: 2711

Benutzer-Bewertung:

17 positiv
0 negativ
Zur Not kannst du SilverFire sicherlich auch im OSH-IRC Fragen stellen. Daten dazu findest du oben im Reiter "IRC".

__________________

http://i.imgur.com/p86eYQU.gif
icon #12

Anmeldungsdatum: Okt 2012

Beiträge: 32

Benutzer-Bewertung:

3 positiv
0 negativ
Okay. Es funktioniert alles, nur der Hook wird nicht getriggert... Falls ich Hilfe brauche, meld ich mich
@SilverFire Danke für die Hilfe