Decrypter et lancer programme exécutable

Question

J'ai un programme exéctuable (fichier .exe) qui est crypté.

Je veux le décrypter et le lancer dans la foulée (l'exécuter).

Le problème, c'est que quand je le décrypte, je ne veux pas le redescendre sur le disque-dur et le lancer, sinon ça ne sert à rien.

Mon, problème, c'est que je veux donc lancer mon programme exécutable, non pas à partir du disque dur, mais directement à partir de la mémoire, car mon exécutable décrypté se trouvera dans un emplacement mémoire.

Comment lancer un processus exécutable et lui affecté le code-machine (l'exécutable) ?

Sous Windows...

Merci

jockos · Answer

Je cherche dans les API Windows mais je n'ai rien trouvé...
:(
CreateProcess.......... toutes ces API prennent en paramètre le chemin (path) de l'exécutable à lancer...

Mais moi, mon exécutable, il est déjà dans un emplacement mémoire et je ne veux surtout pas le redescendre sur le disk-dur...

Que faire ?

cosmobob · Answer

tu peux toujous faire un truc pas conseillé, mais ché pa si ca va convenir a ce que tu veux faire. le code ke t'as en mémoire doit etre un code 'assembleur' sinon bon ca va foirer.

void __declspec(naked) lancement(int adresse)
{
   __asm mov eax, dword ptr [esp+0x04]
   __asm mov dword ptr [esp], eax
   __asm ret
}

lance cette fonction (en parametre l'adresse mémoire de ton code). cette fonction modifie sa valeur de retour, et y mets l'adresse mémoire que t'as mise. donc au si ds ton code t'as ca:
void main()
{
   //je sais pas koi
   lancement(labonneadresse);
   cout << "salut" << endl;
   // on arrivera jamais ici car en retournant, la fonction precédente a chargé le pointeur d'instruction sur l'adresse ke t'avais mis en paramètre. (salut ne saffichera pas vu k'apres l'appel de lancement on va executer du code ailleurs...)
}

ya des chances ke ca marche pas ton truc, tout simplement parskeu le début de ton code ke t'as en mémoire sera pa directement des instructions assembleur (mais de la décoration de programme...). il doit surement yavoir moyen de faire ca proprement.
mais bon mettons k'en memoire t'aies du code simple (genre desassemble un fichier qui fait (printf("salut les amis"), et mets ce code assembleur ds ta zone memoire ke tu veux lancer) ben la ca marchera, mais apres ca va planter juste.

cosmobob · Answer

en fait ca marchera jamais skeu j'ai dit, oublie ;)

greg883 · Answer

tu peux p-e faire un jump (en asm) sur l'adresse de la chaine de caractères qui contient l'executable ??

jockos · Answer

je pense que ça ne marchera pas.

Car un exécutable n'est pas chargé dans un seul bloc de la mémoire. La zone de code (.text) et les constantes sont plaçés dans une zone mémoire ne lecture seule tandis que la zone des variable et la pile (stack) est dans une zone en lecture/écriture.

Bref, même si je fais un Jump sur l'adresse de l'entry point de mon exécutable, je doute très fortement que le processeur va exécuter mon code... le PC va planter...

Il faut tout que je me tappe à la main, c'est à dire découper mon exécutable, refaire les calcul d'offset (à partir du champ ImageBase de l'en-tête de mon exe au format PE), allouer des pages dans la mémoire virtuelle en mettant les droits qui vont bien en fonction de la section de l'exécutable...
Bref, un vrai casse-tête...

Merci quand même pour ton aide...

GeNoX · Answer

pour koi ne pas essayer de chopper le code source de UPX ou un equivalent pour voir comment ca marche ? ;)

jockos · Answer

C'est bon, j'ai trouvé la solution à mon problème...

Il suffit de crypter uniquement les segments de code (.text) et de données (.bss et .data) et de lancer l'exécutable avec l'API CreateProcess en mode SUPEND (flag dans les paramètre de l'API).

Ensuite, je décrypte tranquillement les segments cryptés en mémoire (après avoir récupérer les informations dans l'en-tête PE de l'exe pour savoir où se trouve ces segements dans l'espace d'adressage virtuel du processus crée par CreateProcess).

Et je relance le primary thread avec ResumeThread.... ;-)

et ça marche super bien...

Jock

Decrypter et lancer programme exécutable

7 réponses

Votre réponse

Discussions similaires