Chui allé un peu vite, je voulais dire soit une section physique dans le sens ou je la rajoute en dur à l'exe d'origine, soit une section virtuelle dans le sens ou je compresse et je fais un gros pavé dans l'exe d'origine (ou en tous cas je refais mes propres sections) pour ensuite reconstruire tout ça proprement en mémoire.
On s'en fout de la reloc, de toutes façons personne s'en sert ...
Bah justement si, on s'en sert même très souvent. Sauf que c'est transparent car accompli par le loader de windows avant que le point d'entré ne soit atteint. Piste à oublier car il ne me sera d'aucune aide dans le cas présent.
Il lui suffira alors de modifier le point d'entrée dans l'EXE et de l'exécuter.
Ah bah non j'vais quand même pas laisser l'exe non altéré avec ma petite section ajoutée à la fin.
Donc ça n'a pas beaucoup d'intérêt : dès que le cracker verra qu'il a sauté à une adresse normale (40xxxx), il saura qu'il se trouve dans le vrai code.
L'objectif c'est justement de retourner l'exe de façon à ce que s'il (l'attaquant) veut dumper, il faudra qu'il passe par le code parasite. Or il sera truffé d'anti-debbug et le point d'entré originel sera caché et faussé jusqu'au dernier jump.
le code en lui-même est portable : ce sont les données qui ne le sont pas toujours
Sauf les fonctions (codées par moi je parle hein, les autres sont dans la table d'import dont l'alteration anti reconstruction est d'ailleurs l'objectif suivant parmi beaucoup d'autres), ainsi que les variables.
Mais bon je vais attaquer en partant du fait que la troisième appli, qui fera justement le mixe, calcule le delta en fonction de où elle place le code pour qu'ensuite le code parasite puisse s'en resservir lors d'appel de fonction ou d'accès aux variables.
Je verrai bien en cours de route ce que ça donne.
Merci beaucoup de t'être penché sur le sujet en tous cas. Je débute dans ce domaine donc je fais une reconnaissance accélérée des techniques employées par l'"ennemi". ennemi entre guillemets parce qu'en étudiant le sujet on se prend vite au jeu du challenge.
En tous cas c'est très intéressant et surtout très instructif.
Je me suis d'ailleurs aperçu que nos méthodes d'auto hashage du fichier et autres étaient réellement contournables en beaucoup moins de temps qu'il ne faut pour les coder. Comme quoi on ne se protège pas sans savoir comment on va se faire attaquer !