Unpacking binaries
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдХреА рдХрдореА: рдпрд╣ рд╕рд╛рдорд╛рдиреНрдп рд╣реИ рдХрд┐ рдкреИрдХ рдХрд┐рдП рдЧрдП рдмрд╛рдЗрдирд░реА рдореЗрдВ рд▓рдЧрднрдЧ рдХреЛрдИ рд╕реНрдЯреНрд░рд┐рдВрдЧ рдирд╣реАрдВ рд╣реЛрддреА рд╣реИред
рдмрд╣реБрдд рд╕рд╛рд░реА рдЕрдкреНрд░рдпреБрдХреНрдд рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕: рдЗрд╕рдХреЗ рдЕрд▓рд╛рд╡рд╛, рдЬрдм рдХреЛрдИ рдореИрд▓рд╡реЗрдпрд░ рдХрд┐рд╕реА рдкреНрд░рдХрд╛рд░ рдХреЗ рд╡реНрдпрд╛рд╡рд╕рд╛рдпрд┐рдХ рдкреИрдХрд░ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд░рд╣рд╛ рд╣реЛрддрд╛ рд╣реИ, рддреЛ рдмрд╣реБрдд рд╕рд╛рд░реА рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдмрд┐рдирд╛ рдХреНрд░реЙрд╕-рд░реЗрдлрд░реЗрдВрд╕ рдХреЗ рдорд┐рд▓рдирд╛ рд╕рд╛рдорд╛рдиреНрдп рд╣реИред рднрд▓реЗ рд╣реА рдпреЗ рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдореМрдЬреВрдж рд╣реЛрдВ, рдЗрд╕рдХрд╛ рдорддрд▓рдм рдпрд╣ рдирд╣реАрдВ рд╣реИ рдХрд┐ рдмрд╛рдЗрдирд░реА рдкреИрдХ рдирд╣реАрдВ рд╣реИред
рдЖрдк рдпрд╣ рдкрддрд╛ рд▓рдЧрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдХреБрдЫ рдЯреВрд▓ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ рдХрд┐ рдмрд╛рдЗрдирд░реА рдХреЛ рдкреИрдХ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдХреМрди рд╕рд╛ рдкреИрдХрд░ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛:
рдкреИрдХ рдХрд┐рдП рдЧрдП рдмрд╛рдЗрдирд░реА рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдиреАрдЪреЗ рд╕реЗ рд╢реБрд░реВ рдХрд░реЗрдВ рдФрд░ рдКрдкрд░ рдХреА рдУрд░ рдмрдврд╝реЗрдВред рдЕрдирдкреИрдХрд░реНрд╕ рддрдм рд╕рдорд╛рдкреНрдд рд╣реЛрддреЗ рд╣реИрдВ рдЬрдм рдЕрдирдкреИрдХ рдХрд┐рдпрд╛ рдЧрдпрд╛ рдХреЛрдб рд╕рдорд╛рдкреНрдд рд╣реЛрддрд╛ рд╣реИ, рдЗрд╕рд▓рд┐рдП рдпрд╣ рд╕рдВрднрд╛рд╡рдирд╛ рдирд╣реАрдВ рд╣реИ рдХрд┐ рдЕрдирдкреИрдХрд░ рд╢реБрд░реВ рдореЗрдВ рдЕрдирдкреИрдХ рдХрд┐рдП рдЧрдП рдХреЛрдб рдХреЛ рдирд┐рд╖реНрдкрд╛рджрди рдкрд╛рд╕ рдХрд░рддрд╛ рд╣реИред
рд░рдЬрд┐рд╕реНрдЯрд░ рдпрд╛ рдореЗрдореЛрд░реА рдХреЗ рдХреНрд╖реЗрддреНрд░реЛрдВ рдХреЗ рд▓рд┐рдП JMP's рдпрд╛ CALLs рдХреА рдЦреЛрдЬ рдХрд░реЗрдВред рдЗрд╕рдХреЗ рдЕрд▓рд╛рд╡рд╛, рдлрдВрдХреНрд╢рдВрд╕ рдЬреЛ рддрд░реНрдХреЛрдВ рдФрд░ рдПрдХ рдкрддреЗ рдХреЛ рдзрдХреНрдХрд╛ рджреЗрддреЗ рд╣реИрдВ рдФрд░ рдлрд┐рд░ retn
рдХреЛ рдХреЙрд▓ рдХрд░рддреЗ рд╣реИрдВ рдХреЗ рд▓рд┐рдП рдЦреЛрдЬреЗрдВ, рдХреНрдпреЛрдВрдХрд┐ рдЙрд╕ рдорд╛рдорд▓реЗ рдореЗрдВ рдлрдВрдХреНрд╢рди рдХреА рд╡рд╛рдкрд╕реА рдЙрд╕ рдкрддреЗ рдХреЛ рдХреЙрд▓ рдХрд░ рд╕рдХрддреА рд╣реИ рдЬреЛ рд╕реНрдЯреИрдХ рдореЗрдВ рдзрдХреЗрд▓рд╛ рдЧрдпрд╛ рдерд╛ред
VirtualAlloc
рдкрд░ рдПрдХ рдмреНрд░реЗрдХрдкреЙрдЗрдВрдЯ рд░рдЦреЗрдВ рдХреНрдпреЛрдВрдХрд┐ рдпрд╣ рдореЗрдореЛрд░реА рдореЗрдВ рд╕реНрдерд╛рди рдЖрд╡рдВрдЯрд┐рдд рдХрд░рддрд╛ рд╣реИ рдЬрд╣рд╛рдВ рдкреНрд░реЛрдЧреНрд░рд╛рдо рдЕрдирдкреИрдХ рдХрд┐рдП рдЧрдП рдХреЛрдб рдХреЛ рд▓рд┐рдЦ рд╕рдХрддрд╛ рд╣реИред "рдпреВрдЬрд░ рдХреЛрдб рдкрд░ рдЪрд▓рд╛рдПрдВ" рдпрд╛ F8 рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░реЗрдВ EAX рдХреЗ рдЕрдВрджрд░ рдорд╛рди рдкреНрд░рд╛рдкреНрдд рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдлрдВрдХреНрд╢рди рдХреЛ рдирд┐рд╖реНрдкрд╛рджрд┐рдд рдХрд░рдиреЗ рдХреЗ рдмрд╛рдж рдФрд░ "рдбрдВрдк рдореЗрдВ рдЙрд╕ рдкрддреЗ рдХрд╛ рдкрд╛рд▓рди рдХрд░реЗрдВ"ред рдЖрдк рдХрднреА рдирд╣реАрдВ рдЬрд╛рдирддреЗ рдХрд┐ рдХреНрдпрд╛ рдпрд╣ рд╡рд╣ рдХреНрд╖реЗрддреНрд░ рд╣реИ рдЬрд╣рд╛рдВ рдЕрдирдкреИрдХ рдХрд┐рдпрд╛ рдЧрдпрд╛ рдХреЛрдб рд╕рд╣реЗрдЬрд╛ рдЬрд╛рдПрдЧрд╛ред
VirtualAlloc
рдХреЗ рд╕рд╛рде рдорд╛рди "40" рдПрдХ рддрд░реНрдХ рдХреЗ рд░реВрдк рдореЗрдВ рдкрдврд╝реЗрдВ + рд▓рд┐рдЦреЗрдВ + рдирд┐рд╖реНрдкрд╛рджрд┐рдд рдХрд░реЗрдВ (рдХреБрдЫ рдХреЛрдб рдЬрд┐рд╕реЗ рдирд┐рд╖реНрдкрд╛рджрди рдХреА рдЖрд╡рд╢реНрдпрдХрддрд╛ рд╣реИ, рдпрд╣рд╛рдВ рдХреЙрдкреА рдХрд┐рдпрд╛ рдЬрд╛рдПрдЧрд╛)ред
рдХреЛрдб рдХреЛ рдЕрдирдкреИрдХ рдХрд░рддреЗ рд╕рдордп рдпрд╣ рд╕рд╛рдорд╛рдиреНрдп рд╣реИ рдХрд┐ рдЧрдгрд┐рддреАрдп рд╕рдВрдЪрд╛рд▓рди рдФрд░ memcopy
рдпрд╛ Virtual
Alloc
рдЬреИрд╕реА рдлрдВрдХреНрд╢рдВрд╕ рдХреЗ рд▓рд┐рдП рдХрдИ рдХреЙрд▓ рдорд┐рд▓реЗрдВред рдпрджрд┐ рдЖрдк рдХрд┐рд╕реА рдлрдВрдХреНрд╢рди рдореЗрдВ рд╣реИрдВ рдЬреЛ рд╕реНрдкрд╖реНрдЯ рд░реВрдк рд╕реЗ рдХреЗрд╡рд▓ рдЧрдгрд┐рддреАрдп рд╕рдВрдЪрд╛рд▓рди рдХрд░рддрд╛ рд╣реИ рдФрд░ рд╢рд╛рдпрдж рдХреБрдЫ memcopy
рдХрд░рддрд╛ рд╣реИ, рддреЛ рд╕рд┐рдлрд╛рд░рд┐рд╢ рд╣реИ рдХрд┐ рдЖрдк рдлрдВрдХреНрд╢рди рдХреЗ рдЕрдВрдд рдХреЛ рдЦреЛрдЬрдиреЗ рдХреА рдХреЛрд╢рд┐рд╢ рдХрд░реЗрдВ (рд╢рд╛рдпрдж рдХрд┐рд╕реА рд░рдЬрд┐рд╕реНрдЯрд░ рдХреЗ рд▓рд┐рдП рдПрдХ JMP рдпрд╛ рдХреЙрд▓) рдпрд╛ рдХрдо рд╕реЗ рдХрдо рдЕрдВрддрд┐рдо рдлрдВрдХреНрд╢рди рдХреЗ рд▓рд┐рдП рдХреЙрд▓ рдХрд░реЗрдВ рдФрд░ рдлрд┐рд░ рдЪрд▓рд╛рдПрдВ рдХреНрдпреЛрдВрдХрд┐ рдХреЛрдб рджрд┐рд▓рдЪрд╕реНрдк рдирд╣реАрдВ рд╣реИред
рдХреЛрдб рдХреЛ рдЕрдирдкреИрдХ рдХрд░рддреЗ рд╕рдордп рдзреНрдпрд╛рди рджреЗрдВ рдЬрдм рднреА рдЖрдк рдореЗрдореЛрд░реА рдХреНрд╖реЗрддреНрд░ рдмрджрд▓рддреЗ рд╣реИрдВ рдХреНрдпреЛрдВрдХрд┐ рдореЗрдореЛрд░реА рдХреНрд╖реЗрддреНрд░ рдореЗрдВ рдкрд░рд┐рд╡рд░реНрддрди рдЕрдирдкреИрдХрд┐рдВрдЧ рдХреЛрдб рдХреА рд╢реБрд░реБрдЖрдд рдХреЛ рдЗрдВрдЧрд┐рдд рдХрд░ рд╕рдХрддрд╛ рд╣реИред рдЖрдк рдкреНрд░реЛрд╕реЗрд╕ рд╣реИрдХрд░ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдХреЗ рдЖрд╕рд╛рдиреА рд╕реЗ рдореЗрдореЛрд░реА рдХреНрд╖реЗрддреНрд░ рдХреЛ рдбрдВрдк рдХрд░ рд╕рдХрддреЗ рд╣реИрдВ (рдкреНрд░реЛрд╕реЗрд╕ --> рдкреНрд░реЙрдкрд░реНрдЯреАрдЬ --> рдореЗрдореЛрд░реА)ред
рдХреЛрдб рдХреЛ рдЕрдирдкреИрдХ рдХрд░рдиреЗ рдХреА рдХреЛрд╢рд┐рд╢ рдХрд░рддреЗ рд╕рдордп рдпрд╣ рдЬрд╛рдирдиреЗ рдХрд╛ рдПрдХ рдЕрдЪреНрдЫрд╛ рддрд░реАрдХрд╛ рд╣реИ рдХрд┐ рдХреНрдпрд╛ рдЖрдк рдкрд╣рд▓реЗ рд╕реЗ рд╣реА рдЕрдирдкреИрдХ рдХрд┐рдП рдЧрдП рдХреЛрдб рдХреЗ рд╕рд╛рде рдХрд╛рдо рдХрд░ рд░рд╣реЗ рд╣реИрдВ (рддрд╛рдХрд┐ рдЖрдк рдЗрд╕реЗ рдХреЗрд╡рд▓ рдбрдВрдк рдХрд░ рд╕рдХреЗрдВ) рдпрд╣ рд╣реИ рдХрд┐ рдмрд╛рдЗрдирд░реА рдХреА рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдХреА рдЬрд╛рдВрдЪ рдХрд░реЗрдВред рдпрджрд┐ рдХрд┐рд╕реА рдмрд┐рдВрджреБ рдкрд░ рдЖрдк рдПрдХ рдЬрдВрдк рдХрд░рддреЗ рд╣реИрдВ (рд╢рд╛рдпрдж рдореЗрдореЛрд░реА рдХреНрд╖реЗрддреНрд░ рдмрджрд▓рддреЗ рд╣реБрдП) рдФрд░ рдЖрдк рджреЗрдЦрддреЗ рд╣реИрдВ рдХрд┐ рдмрд╣реБрдд рд╕рд╛рд░реА рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдЬреЛрдбрд╝реА рдЧрдИ рд╣реИрдВ, рддреЛ рдЖрдк рдЬрд╛рди рд╕рдХрддреЗ рд╣реИрдВ рдЖрдк рдЕрдирдкреИрдХ рдХрд┐рдП рдЧрдП рдХреЛрдб рдХреЗ рд╕рд╛рде рдХрд╛рдо рдХрд░ рд░рд╣реЗ рд╣реИрдВред рд╣рд╛рд▓рд╛рдВрдХрд┐, рдпрджрд┐ рдкреИрдХрд░ рдореЗрдВ рдкрд╣рд▓реЗ рд╕реЗ рд╣реА рдмрд╣реБрдд рд╕рд╛рд░реА рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рд╣реИрдВ, рддреЛ рдЖрдк рджреЗрдЦ рд╕рдХрддреЗ рд╣реИрдВ рдХрд┐ рдХрд┐рддрдиреА рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдореЗрдВ "http" рд╢рдмреНрдж рд╣реИ рдФрд░ рджреЗрдЦреЗрдВ рдХрд┐ рдХреНрдпрд╛ рдпрд╣ рд╕рдВрдЦреНрдпрд╛ рдмрдврд╝рддреА рд╣реИред
рдЬрдм рдЖрдк рдореЗрдореЛрд░реА рдХреЗ рдПрдХ рдХреНрд╖реЗрддреНрд░ рд╕реЗ рдПрдХ рдирд┐рд╖реНрдкрд╛рджрди рдпреЛрдЧреНрдп рдбрдВрдк рдХрд░рддреЗ рд╣реИрдВ, рддреЛ рдЖрдк PE-bear рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдХреЗ рдХреБрдЫ рд╣реЗрдбрд░ рдареАрдХ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)