>>891716 (OP)
Вкатился, кто знает, что может означать инструкция "jmp ." в GAS? В гугле не нашел.

1. Реквестирую гайды по фасму и его макросам.
2. Что-нибудь о программровании на асме под x64, а то васм со статьями закрылся.

>>891716 (OP)
Плохой заголовок для треда, не одобряю. Пожалуюсь модератору, пусть переименует.
>>891719
>jmp ." в GAS
Мегабыстрое гугление говорит, что
jmp label1
Может быть, это метка? Скомпелируй и посмотри результат.
>>891728
>2. Что-нибудь о программровании на асме под x64, а то васм со статьями закрылся.
Прямо программирование? Или ты подразумеваешь реверс?

Ну и у меня вопрос. Как реверсить приложение (x64 в данном случае), напичканное антиотладочными приёмами? Нужен нормальный отладчик. Глючный x64dbg такой глючный, что лучше без него. Какой-нибудь эмулятор цп?

>>891749
>Прямо программирование? Или ты подразумеваешь реверс?
И то, и другое. Например, хочу разбираться в том, как настраивается контекст процессов на x64.

>>891749
>>jmp ." в GAS
>Может быть, это метка? Скомпелируй и посмотри результат.
Это уже листинг декомпельнутого ядра. Системщики опять забыли принять таблетки.
>Как реверсить приложение (x64 в данном случае)?
Только с MSIL работал, декомпил в C#, далее стандартные средства рефакторига студии, после этого решарпером пройтись. Становится вполне читабельным.

>>891754
Ссылок не подскажу, т.к. меня только реверс интересует. Но отличий от x86 не настолько и много. Если умеешь в него, то и с этим асмом проблем быть не должно.
>как настраивается контекст процессов на x64
Это что значит?

>>891759
>Только с MSIL работал, декомпил в C#
А если обфусцирован? ConfuserEx'ом каким-нибудь модифицированным?

>>891761
Прям с изменённой структурой кода? Ну вообще обычно такое не юзается в языках, где важен порядок операторов(многопоточность и всё такое). Я видел только с изменёнными идентификаторами по типу axxxx, но большая часть из них восстанавливается.

>>891768
Не знаю, что там было. Пытался его декомпилировать, но не получилось. В IDA так же не понятно, потому что код приложения запакован.
Но мне интересно про декомпиляцию не C# приложений, а нативных. Какой отладчик, кроме WinDbg ещё можно использовать?

>>891774
Раньше юзали OllyDbg.

>>891749
>Плохой заголовок для треда, не одобряю. Пожалуюсь модератору, пусть переименует.
Ага, обосрался с ним.
>>891761
>А если обфусцирован?
Ищи деобускатор. Если его нет- пишешь его и выкладываешь на радость остальным.
>>891774
>Какой отладчик, кроме WinDbg ещё можно использовать?
OllyDbg.

Зачем здесь вызову ZeroMemory передается адрес указателя и размер этого указателя? Защита от нублолов?

>>891788
Забыл код http://ideone.com/1UBYbw

>>891760
>Это что значит?
Настройка структуры CONTEXT при инжекте в процесс. Видел, как у кого-то возникли проблемы на XP при настройке процесса в приостановленном состоянии.

>>891785
>Раньше юзали OllyDbg.
>>891786
>OllyDbg.
x86-64. Про OllyDbg знаю, само собой.

Собственно ради чего я создал тред. Сейчас я ковыряю ядро винды, мечтаю подпилить его для запуска семёрочных приложений. Интересуют 64 битные версии. В итоге должно получится что-то типа
http://blog.livedoor.jp/blackwingcat/archives/1706829.html
Это патч от японского хакера, но он для 32 битной версии.

Для создания подобных патчей на х64 не хватает инструментов, а именно
1) Возможность добавления записей в ExportTable
2) Перемещение и изменение размера таблицы секций
3) Релокации для функций, чтобы после выполнения предыдущих действий всё работало
4) Контрольные суммы для PE.
Собственно я их разыскиваю.
В идеале следовало бы декомпилировать нужные файлы полностью, или допилить соответствующие исходники вынь2000.

Так же я разыскиваю дебажные сборки семёрки и десятки, авось пригодятся. Такие сборки для XP x32 SP2 и Server 2003 x64 beta у меня есть, но не откажусь от XP x64 и релиза Server 2003.

Посоветуйте книг ньюфагу

>>891805
С.В. Зубков: Assembler. Язык неограниченных возможностей.

>>891788
Ошибка там. Хотели, наверное ZeroMemory(data, strlen(data)). Потому что указатель можно занулить и без использования ZeroMemory. Но тред не об этом, тебе в прикреплённый.
>>891792
Что значит "настройка"? Ты и так можешь установить любые значения регистров в нём, чего настраивать то? Сейчас такую программу реверсю, в ней через векторные исключения проверяется состояние регистра dr7 и сбрасывается флаг TF (а ещё он же устанавливается для чего-то). Чтобы установить контекст, нужно вызвать GetThreadContext приостановленного потока (в документации так написано). Или через исключения. Но всё заранее должно быть создано, что нужно для передачи управления на инжект-код. Ты сформулируй вопросы, а то очень уж общий вопрос задаёшь. Или даже так: в чём у тебя возникли сложности?

>>891808
Благодарю

>>891808
А есть по-новее?

>>891805
Платформа?

>>891801
Немного специфичные требования к софту.
1, 2 и 4. LordPE посмотри.
3. Это не знаю. Наверное, тебе придётся самому написать.
Посмотри книгу К.Касперски "Техника отладки программ без исходного кода". Он как раз рассматривает способы внедрения кода в чужое приложение. Книга хотя и старая, но формат исполняемого файла остался тот же.

>>891719
Сначала я решил, что это текущий адрес, потом я пошёл в гугол и нашёл, что это текущий адрес. Либо оно зацикливается, либо ничего не делает, в зависимости от того, что подразумевается под текущим адресом в этом случае.
http://tigcc.ticalc.org/doc/gnuasm.html#SEC49

>>891864
А для чего? Это нестареющая классика, актуальная и через века. Нубы будут программить мышкой в очередном говнофреймворке, делая приложения,пожирающие гигабайты и гигагерцы, а аксакалы по старым методикам писать на асме проги в 30кб.

>>891956
>1, 2 и 4. LordPE посмотри.
Смотрел. Может только редактировать, добавлять в таблицу экспортов не умеет. При работе с секциями побил файл нафиг.

>>891716 (OP)
Наканецта
год учил си, и ждал пока ктонибудь запилить нужный тред по RE

>>892128
А надо было учить асм.

>>892155
> учить асм
Надо учить все, до чего дотянешься. Особенно если хочется в реверсинг. Кроме 32-битных x86 процессоров существует IA-64, кроме нее существуют и широко распространены ARM и MIPS, кроме кода для реальных процессоров часто приходится иметь дело с байтокодом CLR/JVM/Dalvik/AVM и прочими виртуальными машинами, поэтому нужно более-менее знать язык, который в это скомпилировался. Бывает, что байткод каждый раз новый (протекторы), а бывает, что ебать приходится USB- или Blutetooth- протоколы или структуры файла, а не код.
Так что сишечкой и асмом ограничиваться ни в коем случае не стоит.

>>892159
>существует IA-64
Он официально мёртв.
>Так что сишечкой и асмом ограничиваться ни в коем случае не стоит
А вот это верно.
>>892177
Так запили.

>>892039
Тогда вариант - написать самому.
>>892159
>протоколы или структуры файла, а не код
Как без реверсинга можно разреверсить протокол или структуру файла? Это же набор (не)случайных байт, попробуй пойми, что к чему относится.
Вот ещё вопрос. Кто как реверсит сетевой протокол? У меня очень не эффективно, как мне кажется. Просто без реверса даже и не поймёшь ничего. Сначала IDA, дебаггер, а только потом какой-то результат. А ещё для упрощения работы пишу диссектор для Wireshark. Удобней становится.

>>892189
Да, я имел в виду Intel 64 (x86-64), постоянно названия путаю.

>>892288
> Как без реверсинга можно разреверсить протокол или структуру файла?
Предназначение файла известно, иначе зачем его реверсить. В протоколах тоже чаще всего знаешь хотя бы общую картину происходящего. Берешь тот же Kaitai или 010 и разбираешь. Ищешь офсеты и длины, флоаты, строки, zlib брутфорсом неплохо находится. Иногда кода на руках нет, но можно нарыть много файлов и искать корреляции. Хотя если пошифровано правильно а не ксором каким-нибудь, то, конечно, без кода хуй что сделаешь.

Ладно, если вы не против, я покидаю сюда всякого говна по теме, которого насобирално так и не приступил к изучению
Должен предупредить, что все это в целом ньюфажное

Блог дядьки написашвего RE for begginners, ссылка на книгу там же.
https://yurichev.com/blog/

Тут подборка книг
https://www.goodreads.com/shelf/show/reverse-engineering

Не совсем RE, но все таки
http://security.cs.rpi.edu/courses/binexp-spring2015/

Тред будет неполон без ссылок на:

https://www.hex-rays.com/ - лучший в мире дизассемблер, с хуевым отладчиком, и каким-никаким, но декомпилятором. Позволяет реверсить код под любую архитектуру, а в тех редких случаях, когда архитектура все-таки не поддерживается - позволяет за вечер запилить процессорный модуль на крестах или питоне.

http://radare.org/ - безумная смесь дизассемблера, hex-редактора и отладчика, затмевающая даже vim своим умением все портить и пикатьмолча. Но из бесплатного - это самое годное, что существует.

Посоветуйте современных и годных книг по ассемблеру

Дан массив из 3 байт. Рассматривая его как массив из 8 трёхразрядных
слов, найти “исключающее или” всех 8 слов для выражения “101”. Помогите пожалуйста с ассемблером. Нужен массив в 8 итераций. В благодарность скину шекели на сотовый.

>>892517
Выше кидали ссылку. Если тебе по новым возможностям процессоров, то бери мануал от Intel и смотри его.
>>892571
Даже не понятно, что тебе надо. Надо зашифровать массив последовательностью 101?

Аноны, TitanHide.sys есть у кого сконпелированный и плагин от него же для x64dbg?

>>892366
Так, навреное все таки уменя больше ссылок не по реверсу, а по байнари эксплоитейшон

не знаю даже, надо ли такое кидать
http://programminggroundup.blogspot.ru/

http://althing.cs.dartmouth.edu/local/www.acm.uiuc.edu/sigmil/RevEng/ch01.html

http://www.program-transformation.org/Transform/ReengineeringWiki

http://dobrochan.com/s/res/45693.xhtml

http://asm.shadrinsk.net/index.php?par1=3&par2=0&par3=0&par4=0&par5=14762263

https://forum.reverse4you.org/

>>892578
Мне нужно сделать операцию XOR к каждому 3-хразрядному слову из массива в 3 байта. Прилагаю свой код. Только мне нужно сделать цикл в 8 итерацию.data segment
mass1 db 11001100b, 10101011b, 00011101b
data ends
code segment
assume cs:code, ds:data
start:
mov ax,data
mov ds,ax
mov bx,2
mov cl,8
a0:
mov al,mass1[bx]
mov ah,00000101b
sub cl,8
neg cl
cmp cl,3
jb a1
sub cl,3
a1:
shr ah,cl
xor al,ah
sub cl,3
neg cl
cmp 1
ja a3
add cl,3
mov ah,00000101b
shl ah,cl
xor al,ah
a3:
mov ah,00000101b
shl ah,cl
xor al,ah
shl ah,3
xor al,ah
mov mass1[bx],al
dec bx
jns a0
quit:
mov ax,4c00h
int 21h
code ends
end start

>>892587
Плачу 500 рублей. Очень нужно, помогите.

>>892587
Условие неполное. Можно разбивать, начиная со старших бит 110 011 00'1, а можно с младших бит 100 001 11'1.

>>>89262>>892629
Со старших. Слева направо 110 011 00b, 1 010 101 1b, 00 011 101b

>>892634
http://pastebin.com/qSngVQ5q фасм, комментарии не писал принципиально, тут реверса тред лол алсо читай шапку.

>>892644
>Не знаешь - не пизди.
Объясни.

>>892644
PETools ему экспорты тоже не добавит. Я уже говорил в ньюфаг треде, что лучше сразу написать кастомный линкер под такую задачу. Руками он править заебется на второй день.

> Все там правильно написано
Ты забыл спросить, нахуя вообще обнулять указатель таким странным способом, когда можно просто присвоить, и нахуя вообще обнулять указатель, который в худшем случае до следующего вызова какой-нибудь функции в стеке пролежит. И ты мог бы догадаться, что оба аргумента ZeroMemory изначально были неправильные, и имелось в виду именно то, что ты процитировал. Хотя возникает вопрос, нахуя обнулять буфер с отосланным текстом.

>>892652
>>892653
И действительно. Извиняйте, котаны, обмишурился.

>>893525
А что отлаживаешь? Там какой-то кастомный протектор?

>>893525
Алсо, в ридми титанхайда написано, что нужно оторвать у винды патчгард, ты оторвал?

>>893531
>А что отлаживаешь?
Поделие от Blizzard.
>>893534
>ты оторвал
Не дочитал до туда. И так пришлось столько движений сделать, чтобы собрать и запустить драйвер. Сейчас попробую.

Посоны, помню когда-то в пр мелькала ссылка на древний блог какого-то хуя, который анон горячо всем рекомендовал, помню ещё, там дезигн был совсем топорный и сам блохер типа обучался по ходу написания постов, а ещё писал, что проганьем до этого никогда не занимался. Никто не вспомнит и не поделиться?

>>893588
Блог по асму и реверс инжинирингу, есессно.

>>893588
>поделится
qfix

Компиляю я ядро WRK.
Оно поставляется со своим компилятором cl.exe версии 14.0, ml64.exe 8.0 и т.д.
Я решил обновить тулзы, взяв их из установленной Visual Studio 2010, а именно cl.exe 16.0, ml64.exe 10.0 и т.д.
Само собой вылетают ошибки. Некоторые из которых я пофиксил сам, типа
\amd64\procstat.asm(325): error A2022: instruction operands must be the same size
Вот строка в исходниках:
https://github.com/stephanosio/WRKRazzle/blob/master/base/ntos/ke/amd64/procstat.asm#L325
Тут я в определении структуры выше заменил SavedXmm6 db 16 dup (?) на SavedXmm6 OWORD (?) (это вообще корректно? И разве это не одно и тоже?), и этот файл скомпилировался.
Но вот ошибка
..\amd64\trap.asm(2134): error A2156: constant value out of range
Повергает меня в пучины отчаяния- она указывает на пустую строку, и что с ней делать- ХЗ. Строка в исходниках:
https://github.com/stephanosio/WRKRazzle/blob/master/base/ntos/ke/amd64/trap.asm#L2134
Кто-нибудь знает, что ему нужно?

Если скомпилировать эти фалы отдельно старой версией и подсунуть при компиляции новой, то они нормально линкуются, ядро рабочее, и меньше на пару сотен килобайт относительно компиляции старой версией.

Что нужно для того, чтобы стать хорошим системных программистом? Надо ли уметь реализовать свой менеджер потоков под что-то вроде распберри или stm32?
inb4: написать в контактике "системный программист"

>>893669
>А зачем обновлять инструмент?
>>893637
>меньше на пару сотен килобайт относительно компиляции старой версией.
То есть в новых инструментах новые оптимизации.
>.allocstack 0 - почему тут ноль?
Функция ничего не делает, вот и стек нулевой. Но действительно, нафиг не нужно. Спасибо, скомпилял.

Чем можно протестировать производительность ядра ОС? Какие-нибудь проги, дрючащие функции API. Интересно сравнить производительность родного ядра с WRK и с WRK, скомпилированным новым инструментом.

Ах, да
https://www.reddit.com/r/ReverseEngineering/comments/hg0fx/a_modest_proposal_absolutely_no_babies_involved/

>>893965
Там все порядком протухло. Недавно вроде пасту посвежее в этом же сабреддите постили.

>>893986
А я не глядел, если честно, давно уже туда, якак-то азы сейчас ботаю

Я не знаю, надо ли это тут, но вот http://www.programminggroundup.blogspot.fi/

65 сообщений, и ещё никто не упомянул Криса Касперски? Непорядок, пофиксил.

>>894851
А кто это? Автор антивируса штоле?

>2к16
>ассемблер
Ржу.

>>894891
Ньюфаг чтоле? http://web.archive.org/web/20070305173922/http://kpnc.opennet.ru/

>>894928
Т.е. уже неактуально? Ну а нафиг тогда надо?

>>894887
Жив, с парашютом прыгать приноровился

>>895188
> с парашютом прыгать
Шо опять? Помнится, лет пять назад на васме он обещал без парашюта прыгать.

>>895216
Ну видимо передумал. Вон, естьвидосы на тытрубе на его канале.

>>894926
Ну попробуй пореверсить на C++.
>>894930
Научись реверсить хотя бы как он, а уж потом пиши, что не актуально.

>>895533
Зачем учится какой-то устаревшей технологии?
Она не востребована на рынке => зря проебешь время.

>>895629
Реверсинг сам по себе не востребован на рынке. Заказов мало, желающих много, и для того, чтобы этим зарабатывать, знать нужно овердохуя. Алсо, это ваши модные нодежс превращаются в устаревшие технологии, а ассемблер как был в 60-х прошлого века, так и в 60-х нашего века никуда не денется.

>>895634
>Реверсинг сам по себе не востребован на рынке.
Серьёзно?

>>895652
Ну смотри. Есть computer forensics разного рода, но это не совсем реверсинг. Есть AV, но это работа за еду, хуже PHP-макак. И есть разовая полулегальная работа. Алсо есть куча ололо-секьюрити-рисерчеров, которые реверсят все подряд в качестве хобби, чаще всего для себя и бесплатно. Что-то еще назвать сможешь?

>>895668
поиск и эксплуатация зеродеев. грейхэты

>>895634
>Реверсинг сам по себе не востребован на рынке.
Тот же Крис Касперски вполне себе съебался в СШАшку и работает там на удалёнке. Был бы он нахуй никому не нужен, его бы туда не взяли.

>>895777
Крис - крайне хуевый программист и ничем не выдающийся реверсер. Он выехал исключительно на имени (написал книжки, по которым училось целое поколение, потому что других книжек нихуя не было) и на этой его охуительной истории про эксплуатацию бага в микрокоде.

>>895668
>Есть AV
Что означает сия аббревиатура?
>Что-то еще назвать сможешь?
Банальное - кейген. Не банальное - формат файла, сетевого протокола, работа драйвера с устройством.
Другой уровень - реверс существующих устройств. Прошивка, взаимодействие компонентов и прочее.
Ещё один вариант - установка ПО и ОС на устройства, это ПО и ОС изначально не поддерживающих. Например, какой-то навигатор в автомобиль, в котором ОС Windows Mobile.
В общем, очень много всего. Учитывая, что (в последнее время особенно) полно закрытых проприетарных устройств, программ, ОС, которые не дают возможность сделать что-то, что разработчик не разрешил.

>>895855
> AV
Разработка антивирусного ПО. Полуавтоматический анализ сэмплов вредоносного ПО посредством различных утилит, скриптов и полутора-двух килограмм биомассы, которую пока заменить нечем.

> установка ПО и ОС на устройства, это ПО и ОС изначально не поддерживающих
Экономически невыгодно, даже если найдется толпа некрофилов, которые на это скинутся. Такое только для энтузиастов, которым некуда девать свое время, а времени для таких финтов нужно овердохуя.

> Банальное - кейген
Мы там выше говорили про востребованность на рынке, это подразумевает что-то хотя бы слегка легальное и приносящее некий доход.

О том, что существует множество интересных вещей, в которых можно лампово ковыряться по вечерам после работы, я не спорю. Но вот платят за реверсинг хоть и много, но редко.

>>895804
>Крис - крайне хуевый программист и ничем не выдающийся реверсер.
Как видишь, даже такие люди могут съебать в США.

>>895954
А ещё, не смотря на лёгкий аутизм, у него была (а возможно и есть) тян. Что за несправедливость, да?

>>895978
Нет, ну я, конечно, первый про Криса начал, но мы тут какбэ реверсинг собирались обсуждать, а не его негритянокмулаток.

>>895979
Ты бы лучше сажу отклеил.

Bump.

>>897771
Это мои слова! Правда не понял, чего тут бампать, когда ответов никто не задавал.
ОП

>>891716 (OP)
Что там с драйверами на микроволновку? Вирус говорят уже есть, драйверы чтобы к компу подключить напишете?

>>897846
Переходник спаяй - подключим.

>>897878
> проблемы с производительностью\оверхедом
Ты что-то делаешь не так. Сишные компиляторы как миниум идут наравне с тем, что ты способен написать. А учитывая, что твой код все равно более, чем полностью состоит из вызовов либ, какая тебе разница, кто будет аргументы в стек/регистры пихать - ты или компилятор?

>>897878
>молодёжь предпочитает покупать софт в интернете у оффициальных дистрибьюторов и не задумывается об использовании пираток.
То чувство, когда ощущаешь себя стариком, который даже предустановленную винду с омерзением сносит, чтобы поставить пиратку.

>>898281
Просто ты долбоеб.

>>898315
Что поделать, если это проще, чем вычищать тонны блоатвари, а порезанные домашние винды ввергают в пучины отчаяния?

>>898379
Но ведь... большинство знакомых сидят на этой блявари и винде, и им норм.
Т.е. жрать говно - это нормально, а ненормальные - это мы, избалованные могуществом не жрать говно.
Но ведь ненормальным быть плохо. Нужно приучать себя жрать говно, чтоб не выделяться, как все. Бить по рукам, когда они тянутся к очередному системному инструменту или диску с виндой. Устраивать 10-ти часовые сеансы работы с нагскрином/баннером посреди экрана. И всякие такие экзекуции. Ну вы поняли.

>>898535
>Но ведь ненормальным быть плохо.
Вовсе наоборот, нормальным быть плохо.

>>898379
А ты вон о чем. Извиняй, братан, попутал. Только смысла покупать пиратку нет - бери оригинальное.

>>898591
Нормальным быть легко - весь мир рассчитан под нормальных.
А ненормальным быть тяжело - ты сам под себя должен адаптипровать весь мир.

>>898625
>весь мир рассчитан под нормальных.
И рассчитан ненормальными.
Так оно и работает.
^_^

>>899154
mov rax,msg2
mov [msgptr],rax
...
msgptr dq msg
msg2 db "yoba",0

Или чего ты хочешь?

>>899154
Классный кстати был отладчик- можно было при наличии определённого скилла и из BSODа выйти с его помощью.

>>899154
Побайтно копируя в цикле из одного места в другое. В rsi кладёшь ссылку на источник, в rdi ссылку на место, куда писать, и поехал:

mov rsi, OFFSET source
mov rdi, OFFSET dest
xor rcx,rcx

loop:
mov al, [rsi+rxc]
mov [rdi+rcx], al
cmp al, 0
jne loop

Как-то так.

>>900362
Перед cmp там ещё 'inc rxc', забыл.

>>891719
Переход в текущий assembly point.

5.4 The Special Dot Symbol
==========================
The special symbol `.' refers to the current address that `as' is
assembling into.

>>900457
> должно быть
Никому не должно. Ватком вон вообще в конец класса таблицу совал раньше.

> Как в Иде такие моменты разрешать?
Никак, лол. Сделай структуру Fields, сложи туда данные класса, сделай ClassView, положи туда указатель на vft, дырку нужного размера и Fields). Сделай структуру Class, сложи туда ссылки на vft и все Fields классов. Когда сделаешь это в десятый раз, напиши скрипт.

Столкнулся с ARM и не знаю, чего ему не хватает.
1. Ida не может правильно дизассемблировать файл. Частично сделано правильно, частично оставлено как массив байт. Ручное дизассемблирование (клавиша "C") не работает. Подозреваю, что это Thumbs и Ida не может работать с такой смесью кода в одной секции. Костыльное решение с моей стороны - взял отдельную секцию из файла и дизассемблировал. Получилось. Название функций и прочее перенёс с помощью IDC файла.
2. Надо посмотреть, как работают некоторые участки кода. Попробовал с помощью QEMU - не помогает, отладка отваливается после первого же шага.
>FFFFFFFF: process has started (pid=4294967294)
>Debugger: attached to process <GDB remote process> (pid=4294967294)
>Network error: Удаленный хост принудительно разорвал существующее подключение.
Судя по отрицательному PID, не видит отладчик. Пытался гуглить, но описания подобного не нашёл.

>>903550
> Ручное дизассемблирование (клавиша "C") не работает.
Значит, это не ARM, или тыкаешь не там.
> Подозреваю, что это Thumbs
В нужном месте Alt+G, T, 1, OK, потом уже C и т. п. Тебе об этом написали, когда только грузил файл.

>>903740
>Значит, это не ARM, или тыкаешь не там
Написал же, что Ida частично код дизассемблировала. Это ARM. Когда отдельно секцию скопировал и дизассемблировал её, Ida всё правильно начала распознавать. Почему так - не знаю.
>В нужном месте Alt+G, T, 1, OK, потом уже C
Не работает.

>>903796
Может быть, покажешь файл?

>>903800
Файл не могу выложить. В принципе, дизассемблировал, пусть и таким кривым способом.
У меня другой вопрос - почему не подключается к QEMU? Есть ещё какой-нибудь способ выполнить произвольную часть кода (скорректировав регистры, само собой)?

>>903550
>>903820
А у тебя QEMU насколько древний?

>>904935
Брал старый (0.13, хотя в документации написано, что нужно 0.10.6 или 0.11) и свежий (2.8.0). Всё равно не получалось с отладкой ничего. Поэтому пошёл по ещё более простому пути - скачал Keil и "проэмулировал" в нём, копируя интересующие меня куски кода.
Но, вообще, беда какая-то с эмуляторами под ARM. Ни один не смог заставить работать.

>>905207
Ну хуй знает - у меня стандартный способ, когда ты выбираешь тип отладчика GDB, в настройках отладки выбираешь запуск QEMU и там же конфигурацию, выделяешь код функции и нажимаешь запуск - отлично работает сейчас IDA 6.x/QEMU 2.8, но и раньше проблем не было.

RE- Гад тир!
Моя несбыточная места в 31 год.
Уважаю этих бойцов невидимого фронта.

Возился с Lena151 туториал и русским курсом от какого то типа. Всё есть на торрентах.
И есть еще форум четкий - должен гуглиться по RE в гугле.

Пацаны РЕ инженеры - это сливки ИТ.

>>905376
Сам себя не похвалишь - никто не похвалит, да? Мамке позвони.

>>907185
порвал демо сцену?

>>907191
причем тут демо сцена?

>>907196
я просто через призму глянул, и тут навеяло

>>907202
ты хотел сказать через усеченную пирамиду, видимо.

>>907181
А зачем нужен этот граф? Ищешь же определённые функции, а как они друг с другом связаны, не всегда надо. А если это был C++ с виртуальными функциями? call eax там только будет.

>>907221
свое вкатывание в РЕ просто я начал (и не закончил лол) именно с этой софтины. а то что там надо найти хэш-функцию и recv - это уже стало ясно(стало ли?) потом.

>>907181
Мне такое нужно полностью декомпилировать до собирающихся в оригинал исходников, а не просто вылечить одну болезнь.

>>907221
шарп
причем функционал этой проги умещается навскидку в 1-2к строк максимум на питоне.
впечатление такое что 90% кода - чисто обфускация. это чё - нормально на рынке софта типа?

>>907225
>именно с этой софтины
Так это не IDA? Точнее, один из её модулей, wingraph.
>>907259
500 строк в оригинале? Если больше - завязнешь надолго. А может ты профи в своём деле, кто тебя знает.
>>907291
От центов до десятков тысяч далларов. Хотя, если программа большая, то быстрее, дешевле и проще написать всё заново. А реверсинг использовать для необходимого - узнать как работает алгоритм, как происходит взаимодействие с сервером и прочее.

>>907551
>Так это не IDA? Точнее, один из её модулей, wingraph.
имел в виду не ИДУ (это инструмент) а сам софт который надо было расчекрыжить.

>>907748
Вот ты о чём, всё понятно. Сам и не помню, что у меня за первая программа была. Зато помню, что первое, что смог разреверсить до результата - это CS1.6, создал для него генератор ключей, который так и остался на моём компе. На момент создания (наверное, 2008-2009 год был) действующего генератора не нашёл, что несколько странно для такой мегапопулярной игры, ведь у меня на тот момент и опыта было чуть-чуть (хотя, его и сейчас не много). Видимо, реверсеры не играют в CS.

>>907762
Годно
а я недели две потратил, набирая хотя бы словарь для понимания, чтто нужно делать в рамках поствленной задачи. после того как на дерево это ебучее взлянул.
вот щас отдыхал пару дней, установил идапитон. через час в бой и не знаю, когда уже в следующий раз остановлюсь, анон. затарился колой, сисинтерналсами, вайршарком, оллидебагом, виндоус сдк тулзами. в бой хули

Посоветуйте сишную библиотеку для дизассемблирования кусков машинного кода так, чтобы между инструкциями можно было вставлять мусор.

>>907291
Ноль, это хобби. Выше, ковыряющий ведро венды- это я и есть.
>>907551
>500 строк в оригинале?
45 млн. Говорят, столько строк в XP.
Хотя конечно расковыривать буду не всё, только основное- ядро и главные библиотеки, подрачивая на WRK, ReactOS и прочие вайны.
Самая сложная функция тут будет в коде патч-гуарда, там 11к строк кода, написанного самыми запутанными патернами. А без него ядро ОС будет дырявым как решето.

Хочу прикрутить возможность запускать некоторые новые проги и дрова.
>>907551
>А может ты профи в своём деле, кто тебя знает.
Нуб, заглядывающий в справку за тем, чтобы почитать, что такое звёздочка.
Инфибо Не осилишь, бросай

>>908082
>некоторые новые проги
Они должны запускаться просто после замены версии в заголовке. Если не запустятся, значит в системе нет необходимых функций (тот же iwicimage появился в винде только с третьего сервиспака хр). В общем, ты не туда копаешь.

>>908167
>Если не запустятся, значит в системе нет необходимых функций
Их я и собираюсь добавлять. А чтобы их добавить, нужно компилить исходники, которые я и собираюсь сделать.
>>908167
>тот же iwicimage появился в винде только с третьего сервиспака хр
Во втором версии х64 тоже должен быть.

>>908319
Пока я тут ядро ковырял, кто-то запилил враппер для прог:
https://habrahabr.ru/company/reactos/blog/319110/

Как отключить контроль вызовов, чтобы компилировались инструкции типа __asm call 0x00000000?

>>911549
Проблема решена, это я дурак.

>>891716 (OP)
Ура, два года все го прошло, тред появился. Научите как написать свою ОС на ассемблере? Почитал там калашникова, вот это все, про прерывания, флаги, регистры про 2^8.
Вообщем мне интересно с чем именно взаимодействует ассемблер, во что преобразовывается, как IDE(а fasm, masm и прочие это IDE которые преобразует буковки в машинный код) как они заставляют работать процессор, вот это все. Не, ну понятно что там машиный код хуе-мое но все же.
Алсо, реквестирую способы как написать свой ассемблер с нуля. Также всегда было интересно как погромировали самый первый в мире комп? Это щас ты юсб пограматор запустил, 2 провода в микроконтролер засунул и все есть и ты такой крутой мигаешь гирляндой.

>>911684
Тененбома читал? Операционные системы, архитектуру*

>>911684
>Также всегда было интересно как погромировали самый первый в мире комп

Надыбай писульки Адушки, она там для манямашины что-то накодила

>>911684
По чертежам Бэббиджа и фон Неймана собирали, вручную создавали электрическую схему вместо набора кода.

>>911684
Нахуй иди, быдлан из /b/.

>>911684
Васм (найдешь где-нибудь) дамп. Заклинание кода от Аквилы.

>>911684
По написанию ассемблера (и пердолинг сигналов) - nand2tetris на курсере. Более глубоко (и сложно) - Computation Structures от мита на едх. По осям - научись в асм и читай "процессор интел в защищённом режиме" с васм.ру и, наверное, Таненбаума.

Про защищенный режим Зубкова же читать надо.

>>892456
А оли? Еще в 32 битной винде есть консолька дебаг.

>>911984
Я в Оле так и не понял, как искать значения в памяти (по типу ArtMoney).

https://habrahabr.ru/post/230359/
Поясните за эту вещь, аноны. Сори, я не такой уж знаток но как я понел тут специально для тупых запилили тот же ассемблер, но работающий на высокоуровневых языках. В чем тогда профит учить асм в 2017?

>>911991
> В чем тогда профит учить асм в 2017?
Для взлома чужих прог, как правило.

>>911991
Это обычный редактор. Как notepad++, например.

Очередной раз сталкиваюсь с программой, защищённой протектором и не знаю, что делать дальше. Прошлый раз это была Enigma 3.70. С ней было проще - нашёл скрипт для OllyDbg, хотя мне и не удалось снять защиту, но нужные данные вытащил. Здесь же тот же самый скрипт пишет, что версия 5.50 и, естественно, завершается досрочно. Как тут действовать? Через GetWindowTextW нужного окна перехватил момент получения текста. Но дальше он как минимум в пять разных мест копируется, какие-то действия выполняются и всё - ключ не правильный, программа завершается. В OllyDbg только один брекпойнт на память можно ставить. Подскажите, в какую сторону копать.

Доставьте все книги и статьи мыщъха, а то я проебал.

>>912441
lmgtfy https://yadi.sk/d/CxzdM1wyea4WP

>>912858
SYSENTER/SYSCALL ?

>>912858
> Посоветуйте мануал по ассемблеру интел
Советую:
https://software.intel.com/en-us/articles/intel-sdm
Формат инструкций и опкоды во втором томе.

>>912895
Как используется этот буллшит SYSENTER? Как при помощи него вызывать функи из kernel32?

__asm
{
push 0;
mov eax, ExitProcess;
;mov edx, esp;
SYSENTER;
};

PS. Юзал SYSCALL под никсами, но там все немного по-другому.

Студент в треде. Возникла проблема с турбо ассемблер для процессора intel 8086.
Суть проблемы в умножении слова на двойное слово. Все консультации проебаны, как и отношения с преподом. Вся надежда на тебя, анон.
Пока моих скудных знаний хватает только но то, чтобы в AX занести младшие 2 байта двойного слова и умножить на слово. Что делать со старшими разрядами представляю смутно. Результаты отдельных действий заношу в ячейки размером в двойное слово. конечный результат имеет длину четверного слова.
(d2+w3)-b1(w1b2-b1)/b3/w3 - Вот формула по которой вычисляю. b,w,d - переменный длинной в байт, слово и двойное слово.

>>913154
Алсо, про нейтив апи знаю, но вызов Nt/ZwExitProcess что-то не получается. Это говно в хедере определено?

Булшит

void *zwExit = GetProcAddress(LoadLibraryA("ntdll.dll"), "ZwTerminateProcess");
__asm
{
push 0;
mov eax, zwExit;
mov edx, esp;
SYSENTER;
};

Как определить индекс системного вызова по нужному мне апи? Пишу вспомогательный шеллкод для вызова апи по хэшу. Почти все готово, но вызов апи костыльный. Хочу сделать хорошо.

>>913162
А, ты хочешь напрямую функции из ядра вызывать минуя ntdll? У меня тут есть кодец готовый - http://pastebin.com/vAY6KW0r

>>913195
Смотри, что я хочу сделать. Вызов апи по хэшу для дополнительной антиотладки.

http://paste.ofcode.org/EzJbj84TmgiJHsVBZ7fnpn

Но не знаю, как правильно вызвать функцию, адрес которой получен. Можно сделать костыль: сохранить адрес в начале шеллкода в четырех байтах и использовать косвенную адресацию, но это выглядит мерзко.

>>913154
>Как при помощи него вызывать функи из kernel32
Никак. sysenter нужен для перехода из ring3 в ring0. В регистр eax заносится число, по которому ядро определяет, какую функцию вызывают. Крайне системозависимо.
>>913157
А в чём проблема расширить слово до двойного слова и перемножить? Или у тебя там 16 битный процессор?
>>913159
>вызов Nt/ZwExitProcess что-то не получается
А посмотреть, как реализовано в ОС нельзя?

>>913200
Ааа, понял.

>Но не знаю, как правильно вызвать функцию, адрес которой получен
Запушить аргументы, и потом:
mov eax, funcAddr
call eax

Но если ты хочешь вызывать функции ядра через SYSENTER как тут >>913162 то тебе первым делом надо SDT индекс этой функции получить. А потом вызвать её можно вот так на х86 системе - http://pastebin.com/9CrNQZKj
Соответственно callgatex86 вызывать вот так:

return callgatex86(sdtIndex, 5, 0, ProcessHandle, BaseAddress, ProtectSize, NewProtect, OldProtect);

>>913201
16 битный процессор, в этом все сложность.

>>913204
>mov eax, funcAddr
>call eax

Так и думал, что придется увеличивать число команд. А как лучше потом вызвать этот шеллкод? Если через CallWindowProc, то придется в начале шеллкода извлекать четыре переданных аргумента из стека. Создавать поток как-то слишком громоздко и я не уверен, что получится одной строчкой получить то, что вернула функция.

>>913206
google:умножение 32 битных чисел на 16 битном процессоре
Первая же ссылка http://asmworld.ru/isxodniki/32-bitnoe-umnozhenie/

>>913210
Аригато

>>913214
Зачем выебываться японским языком, из которого ты знаешь пару слов?

>>913216
Нани? Аната ва ватаси мо паверулевелу га вакаримасен!

>>913227
>Что? Ты, я тоже, паверлевел не понимает!

Помогите, пожалуйста. Я хочу просмотреть пошагово выполнение процедуры в игре с помощью отладчика, но как только я переключаюсь на его окно, процесс игры приостанавливается. Само собой, выполнить программу нормально не получается, так как программа сразу же переключается на библиотеку ntdll. Как сделать так, чтобы окно программы было активно и при этом её можно было просматривать с помощью отладчика? Я использую OllyDbg.

>>913641
1. Запускай игру в оконном режиме.
2. Ставишь точку остановки на нужную процедуру.
3. Когда срабатывает точка остановки, переходишь в отладчик и пошагово проходишь интересующий тебя код.

Как восстановить (создать) таблицу импорта у dll? Есть адреса, где вызываются, есть название функций. Попробовал через CFF Explorer, но это вручную надо вбивать сотни строк. Через ImpRec не получилось, пишет, что невозможно прочитать данные, когда указываю адрес загруженной dll.

>>915482
Адрес IAT правильно указал в ImpRec? Если знаешь IAT - сможешь хоть вручную скриптом на каком-нибудь питоне сгенерить таблицу импортов, там простой формат. Но в целом, ImpRec должен работать. Покажи скриншот ольки и imprec с прописанными адресами.

>>915677
Как этой программой пользоваться, не пойму. Нашёл, что нужно выбрать dll отдельно. Искал в гугле, но картинок нет, есть только текст.
dll загружено по адресу 10000000. IAT в отдельной секции (если правильно понял) 1003E000. Т.е. там содержатся ссылки на функции. Эту секцию (адрес) надо указывать? Строк с названиями функций у меня нет, всё сожрал злобный протектор.

>>915724
Должно все работать. Адрес ты указал правильный, он относительно базового адреса модуля должен быть. Названия импортов нинужны, оно само находит, но нужен правильный размер (не могу проверить). В любом случае оно должно по Get Imports хотя бы первые импорты правильно находить. Разверни невалидный узел, посмотри, что внутри пишет, какие адреса там и какие в ольге. Посмотри лог повнимательнее, обрати внимание на image size.

>>915755
ImpRec не понравилось, что у меня программа была приостановлена через отладчик и из-за этого не получалось? Потому что сейчас указал те же данные и всё получилось. Только F9 нажал перед этим. Отлично, секцию импорта восстановил. Уже вручную пытался, действительно, всё просто, но очень долго. А вспомогательный скрипт писать нисколько не хотелось.
А вот что делать с релоками? Есть один на всю dll. И тот, подозреваю, нужен был для энигмы. Когда энигма релоки переназначает, не понятно. После распаковки, но до копирования распакованного кода обратно в секцию или после распаковки и копирования? Компилятор VS располагает их в отдельной секции .reloc, которая последняя в файле и идёт после .rsrc. Но в моём файле после .rsrc идёт код энигмы.
Ещё и потерял, где настоящая точка входа. Находил ведь, а записать забыл. А как нашёл - не помню.

>>915910
> релоки
Если ничего не поможет, есть старый трюк: ищешь OEP, ставишь бряк, дампишь. Меняешь у исходного файла базу (или занимаешь чем-то этот адрес до загрузки длл), пересчитываешь OEP на новую базу, ставишь бряк, еще раз дампишь. Ищешь различия, генеришь релоки.

>>915910
>потерял, где настоящая точка входа
Нашёл по константе 0BB40E64E. Хорошо, что VS оставляет один и те же константы.
>>915924
Благодарю за совет.

>>916241
Возьми gflags.exe из Platform SDK/Debugging Tools For Windows и включи Show loader snaps для того exe, который грузит твою длл. Алсо скриншот нечитаемый.

>>916319
А, ок, на скриншоте вполне валидные релоки. Посмотри еще, может в флагах образа IMAGE_FILE_RELOCS_STRIPPED стоит. Ну и размер директории релоков проверь.

Господа реверсеры, если я получу HINSTANCE библиотеки kernel32 и скопирую секцию кода в другое место, я смогу вызывать функции оттуда по их смещениям?

Аноны, не нашел "основной" тред, о котором говорится в шапке, поэтому пишу сюда. Нужно реализовать алгоритм Берлеке-Месси на Ассемблере nasm. Не бесплатно, имеется 3к. Дедлайн - 24.

>>916417
railmaildail@gmail.com или id373341334
Отлипли контактные данные.

>>916417
> не нашел "основной" тред
Прикрепленный ньюфаг-тред. gcc -S тебе все реализует, что захочешь.

>>916409
Скорее всего тебе повезет. Но могут попасться относительные ссылки на секцию данных, например.

Возможно ли в masm реализовать симуляцию нажатия ЛКМ / Клавиши клавиатуры - ?

>>916693
SendInput()

Как вкатиться в низкоуровневое программирование и ревёрс? Пока есть поверхностное представление о архитектуре компьютеров и такое же знание ассемблера 8086 (уровня написать итеративный алгоритм Эвклида).
Читать Талмуд Таненбаума не хочется, хочется, чтобы было повелее, и главное, побольше практики, задачек, каких-нибудь laba1.asm писать.

>>916728
повеселее
фикс

>>916728
Просто берёшь и вкатываешься. Для начала научись пользоваться Идой, если ещё не умеешь. А потом сам себе ставишь задачи. И учишь то, что для этого необходимо.

>>916976
Вот держи https://msdn.microsoft.com/ru-ru/library/windows/desktop/ms646310%28v=vs.85%29.aspx , погуглил за тебя. Это через WinAPI делается.

>>916979
Oops , извеняюсь за свою тупость. Весьма благодарен.

>>916976
Возникла проблема с восприятием этой функции(точее с параметрами),
как к примеру отправить нажатие NumLock / просто нажатие ЛКМ - ?

>>917013
Что я должен поместить в unsigned int - Массив клавиш - ?

>>917021
Там же всё элементарно, ты чего на ровном месте застрял? Первый параметр - количество передаваемых структур INPUT, второй - сам массив инпутов, третий - размер структуры INPUT. Щёлкаешь на INPUT и смотришь, что там должно быть. Первый параметр - тип инпута и так далее. Всё расписано же.

>>917034
Допустим, мне нужно симулировать простое нажатие лкм ->
invoke SendInput, 1,;(кол-во передаваемых структур);massiv,0;(т.к мне нужно использовать INPUT_MOUSE);
Так вот, я не совсем вникаю в то, как должен выглядеь массив, и он должен располагаться в .data сегменте или .code
Массив должен быть типа:
massiv struct
LButton = 0x01
ends
-?

>>917090
или там где уменя 0 должно быть x,
где x=$-massiv - ?

>>917090
Ну написано же в документации, ну. Зачем ты в асм полез, если не можешь документацию читать? Ну возьми тогда mouse_event, keybd_event они проще, система за тебя сама SendInput соберет.
> он должен располагаться в .data сегменте или .code
Да хоть в .rsrc, всем похуй.

> как должен выглядеь массив
Как массив. Структуры городить не обязательно.

start: invoke SendInput,2,events,28
invoke ExitProcess,0

events dd INPUT_MOUSE ; INPUT.type
dd 0, 0 ; MOUSE_INPUT.dx/dy
dd 0 ; MOUSE_INPUT.mouseData
dd MOUSEEVENTF_LEFTDOWN ; MOUSE_INPUT.dwFlags
dd 0, 0 ; MOUSE_INPUT.time/dwExtraInfo

dd INPUT_MOUSE ; INPUT.type
dd 0, 0 ; MOUSE_INPUT.dx/dy
dd 0 ; MOUSE_INPUT.mouseData
dd MOUSEEVENTF_LEFTUP ; MOUSE_INPUT.dwFlags
dd 0, 0 ; MOUSE_INPUT.time/dwExtraInfo

Как в asm выглядит синтаксис Point структуры, что бы получить x и y через GetCursorPos - ?
Забил покуда из за недостатка знаний на SendInputs(т.к так и не разобрался, как это работает),
использую "устаревшие" как мне говорят mouse_event, вот.

>>917409
Да , забыл сказать, работаю в masm32 , использовать int33 и использовать CX и DX - не получится .

>>917413
.data
POINTER STRUC
X DD ?
Y DD ?
POINTER ENDS
XX DD ?
YY DD ?

.code

start:
invoke GetCursorPos, POINTER
Mov eax,POINTER.X
Mov XX,eax
mov eax,POINTER.Y
mov YY,eax
MOV edx,XX

Что делаю не так?

>>917428
С чем связана запись в Y - Нуля, а в X - 4-ех ?

>>917466
Я вот вижу, как ты определил структуру (тип), но не вижу, где бы ты создавал переменную этого типа. Не знаю масма, если что.

>>917476
Переменные должны были быть long , но как их вписать в асм'е покуда хз.
Решил путем
offset'a а точнее ADDR.

в MyPoint.x записываются координаты x,
а в MyPoint.y записываются координаты в y,

.data
MyPoint POINT <>

.code
start:

invoke GetCursorPos, ADDR MyPoint
mov eax,MyPoint.x
mov ebx,MyPoint.y
invoke ExitProcess,0
end start

>>917479
Ну вот, сам решил, мог бы и не спрашивать в треде.

> Переменные должны были быть long , но как их вписать в асм'е покуда хз.
Очевидно, что никак (хотя в масме вроде были алиасы). Все эти int/uint/long/ulong/size_t и указатели в 32-битном коде - это дворды, т.е., dd.

>>917485
>Очевидно, что никак (хотя в масме вроде были алиасы). Все эти int/uint/long/ulong/size_t и указатели в 32-битном коде - это дворды, т.е., dd.
За это благодарен.
>Ну вот, сам решил, мог бы и не спрашивать в треде.
Я ожидал что мне поможет кто-то более опытный, и мне не нужно будет копаться на всяких форумах/бордах/электронных книгах и тратить время.

Где может храниться информация о регистрации? Приложение написано на VB5 в далёком 2003 году, компиляция в Native. ProcessMonitor ничего дельного не показывает, брекпойнт на CreateFileW ничего не дал.

C:\Windows\Registration\R000000000006.clb - погуглил, "файлы зарегистрированной базы данных COM+ элементов", не то.
HKCR\CLSID\{00000010-0000-0010-8000-00AA006D2EA4} - фигня
HKCU\Software\Classes\Licenses\F4FC596D-DFFE-11CF-9551-00AA00A3DC45 - опять не то, свободно гуглится GUID
И прочее в таком же виде.

Как ещё может проверяться регистрация и где может храниться? Брекпойнт на память на строке "Trial" всплывает очень глубоко внутри kernel32 на подсчёте её длины, а до этого в MSVBVM60.DLL. Это создание окна. Неужели есть отдельная полнофункциональная версия?

>>919819
Так есть жи декомпилятор от русского автора. Много интересного показывает, и native ему не помеха.

>>919957
VB Decompiler Pro? Его и использую. Ида так же дизассемблирует. Но проблема в том, что не могу найти ни место генерации ключа, ни место хранения данных о регистрации. В программе (отдельном модуле, их много, но ничего другого не загружается) всего несколько десятков функций. Но нет ничего. Не пойму, как программа определяет, что она не зарегистрирована. Как в VB может такое быть? Может быть, получается помимо отладчика через p-code что-то выполнить? Нет идей.

>>920030
Что за программа? Уверен, что она вообще умеет превращаться в полную версию, а не качать апдейт при вводе правильного ключа, например?

>>920030
А нет, что-то нашёл. Очень уж непонятен этот Native VB. После замены условия программа завершилась сообщением об ошибке "No current record." Значит, в базе данных где-то должен ключ храниться. А база данных "Standard Jet DB".
>>920100
Да ни в чём не уверен, разве кроме скачивания чего-то из интернета, потому что в то время это было не распространено. У меня даже не получается посмотреть, что будет после завершения триала, т.к. счётчик не уменьшается.

Посоветуйте литературу(видеокурсы,статьи и прочие ресурсы)для новичка.(хочу вкатиться в ас. хз с чего начать).

>>920403
Ассемблер: абсолютно похуй, как его учить - можно хоть с Human Resource Machine начать, продолжить TIS-100, а потом уже что-то серьезное читать. Реверсинг: beginners.re, а потом уже сам поймешь, надо ли оно тебе, и что учить дальше.

1. Скопировал из гайда такой код , в fasm его скомпилировал.
2. Сделал образ диска .iso и в VirtualBox поставил его в виртуальную машину, чтобы с него считывалась эта ОС, выводящая hello world.
3. Выводит ошибку.
Что я делал не так?

>>921519
Сделай образ дискеты, а не диска.

Поцаны, а на каком году изучения асма появляется способность понимать чо происходит в реверснутых программах?
Когда сам асм пишешь понимаешь, что происходит. А понять ту мешанину, после декомпиляции очень сложно.

>>921878
> А понять ту мешанину, после декомпиляции очень сложно.
Чтобы понять выхлоп HexRays, нужно не лениться восстанавливать и прописывать типы функций и прототипы, не лениться убирать дубликаты переменных нажатием =.
Чтобы научиться понимать дизасм, можно в комментариях к дизасму писать псевдокод, подражая HexRays:
mov edx,eax ; edx = eax
shl edx,2 ; edx = eax × 4
add edx,eax ; edx = eax × 4 + eax = eax × 5
shl edx,1 ; Епт, да это же умножение на 10!
А потом, с опытом, придет способность делать то же в уме (а также пользоваться правильными инструментами или писать их самому, чтобы не делать этого в уме).

>>922422
Вот эт интересно, а не то что анон выше посоветовал, чтоб приседать на бутылку было не больно, нужно приседать на бутылку. Ахуительные советы блять. Но ведь есть жи особенности как чо делать. Сам то наверное как родился первую прогу реверснул и все понял епт.

>>922871
>чтоб приседать на бутылку было не больно, нужно приседать на бутылку.
Тут ты обосрался.
Судя по местным заседалам из /po/ эта тактика работает.

З.ы пока не искатаешь дисциплину ЭВМ хотя бы поверхностно, хуй ты станешь адекватным реверсером.
Да и к тому же что бы понять ну "мешанину" после декомпиляции нужно хотя бы немного изучить структуру компилятора которым и была "написана" программа.
Ну и как совет больше практикуйся приседай на бутылку , не в реверсе а в написании программ на ASM.

Кто-нибудь кроме меня тут вообще пытался декомпилировать винду?
А то в одиночку как-то медленно выходит.

>>922871
>Сам то наверное как родился первую прогу реверснул и все понял епт.
Расскажу свою историю.
Реверс давно меня заинтересовал, поэтому плохо помню, как учился.
Сначала кодил на С(++). Даже не понимал, зачем нужен этот Debug, мне и Release подходит. Как-то потихоньку заинтересовался асмом, когда нажимаешь "Go to disassembly" в Visual Studio интересно было смотреть, во что превращается исходный код. Даже каким-то образом скачал Иду, наверное 5.2, а может и из 4 версии. Но ничего не было в этой программе понятно. Благодаря книге "Образ мышления - дизассемблер Ida" разобрался в этой программе. Но до этого мне понадобилось около 2 месяцев на изучение ассемблера, потому что было абсолютно непонятно, то там происходит. Не помню, почему так долго, может быть, из-за учёбы, а может быть некуда было спешить. Постепенно увлекался, это было как хобби.
А вот сейчас, когда пытаюсь зарабатывать с помощью реверса, стало понятно, что все эти годы занимался фигнёй. Не было у меня практики. Разреверсить функцию или сетевой протокол в незащищённой программе могу. С некоторым трудом могу восстановить формат файла. Может ещё чего по мелочи. Но если программа как-то зашифрована или накрыта протектором, то уже не знаю, что делать. Приходится отказываться от приличного количества работы только из-за того, что не знаю, как её выполнять. Так что прав тот анон. Только практика может сделать из тебя реверсера. Когда постоянно сталкиваешься с чем-то незнакомым. А не так, как получилось у меня. Теперь приходится навёрстывать. А ещё на асме не пишу.

>>923381
Иногда смотрю, как в kernel32.dll или user32.dll выполняется функция или почему возвращает неверный результат. Но не так глобально, как у тебя. Тебе в ReactOS надо вливаться. Или слишком разные у вас пути?

>>923391
Конечно разные. Они со своей политикой не подсматривания в сырцы и не дизасма саих файлов далеко не уедут. Собственно по их прогрессу и так видно.
Да и видел я сырцы Вынь2000 и WRK, поздно мне туда.

>>923398
> политикой не подсматривания в сырцы
У них скорее политика "не пойман - не вор". Внутренние структуры и функции совпадают - они же не из астрала эти данные взяли? Или у них clean room с двумя командами?

>>923400
>Или у них clean room с двумя командами?
Таки да, иначе бы их давно пидорнул МС. Только чистая комната спасёт их от озалупливания Майкрософтом, и они это прекрасно понимают. Поэтому у них до сих пор глючный клон 16 летней ОС.
Впрочем, совпадение там весьма условное. Я как-то сравнивал пару рандомных функций с кодом WRK- совсем иной подход.

>>923405
Ну в общем процесс идёт, появилось пару вопросов. Надекомпилял как смог функцию IovUnloadDrivers, из Win2k3 SP2 x64, вот результаты:
http://pastebin.com/uH1gD8jE
В общем вопросы таковы:
Что за взаимная мастурбация с переменными v16 и v17? Что я тут проебал?
Какой тип выставить переменной Object? Функция KeWaitForSingleObject жрёт PVOID, но тут явно что-то большее должно быть. Может это связано с дрочкой v16 и v17.
И вообще, скажите, что я сделал не так. В реверсе полный дуб.

>>923555
> Object
Очевидно, что это структура, и ты ее не задефайнил. Гугли DISPATCHER_HEADER для начала.

>>923385
> Только практика может сделать из тебя реверсера
>Приходится отказываться от приличного количества работы
Дохуя напрактиковал отказы от работы?

>>923583
>DISPATCHER_HEADER
Ага, подошло. Правда в ядре чаще юзают KEVENT и ему подобное, но ничего кроме лишнего уровня она не добавляет. Так же заметил функцию в заголовочном файле, которая сворачивает всю инициализацию объекта ожидания до вызова одной строчки. Жить стало лучше, жить стало веселее.
Вот вопрос- а как такое отгадывать? Остальное я достал из вызываемых функций, которые хотя бы как-то описаны, а вот этот объект юзается только в функции, принимающей PVOID, то есть никакой информации толком нет. Правда конкретно эту я бы мог отгадать сам по примерам другого кода, использующего функцию KeWaitForSingleObject, но как быть с кодом, где никаких подсказок нет? Как реконструировать структуры по коду?

Так же я заметил, что проебался с маппингом переменных, так как строки
driverObject = 0i64;
have_next_device = 0;
while ( driverObject )
{
Явно ошибочны. Размаппил одну из них, переименовал по вкусу, вроде теперь всё нормально. Зацените:
http://pastebin.com/exhumh83

>>923955
> как быть с кодом, где никаких подсказок нет
Из названия очевидно, что KeWaitForSingleObject хочет объект, а PVOID должен на что-то указывать. Гуглим или реверсим KeWaitForSingleObject, чтобы узнать, что у объекта должен быть заголовок, и какой тип в этом заголовке типу какого объекта соответствует.
> ничего кроме лишнего уровня она не добавляет
Будешь лениться - запутаешься.
> Как реконструировать структуры по коду?
Найти код, который структуру создает (если повезет) и код, который ее использует. Поля структуры можно восстанавливать полуавтоматически (правой кнопкой, Reconstruct type возможно, это HexRaysCodeXplorer добавляет, не помню), есть еще Create struct from data. Назначение полей выясняется долгим и мучительным анализом работающего с ними кода (или, в случае винды, гугл и символы весьма помогают).

>>924101
>или, в случае винды, гугл и символы весьма помогают
Да вот у меня сейчас такие функции, про которые гугл выдаёт 3,5 ссылки, из них одна сюда и одна на выложенный мною код. Вообще странно, что никто не выкладывал свои раскопки в этом направлении. Не верю, что я первый тут копаюсь.
АЛСО, зачем сагаешь? Тред хороший же.

>>924883
Там проблема какая-то со структурными исключениями.
https://habrahabr.ru/company/xakep/blog/260577/
>для реализации поддержки исключений в динамически размещаемом коде на x86 платформе можно выделить минимум три способа:
>Установка/подмена флага ImageDispatchEnable для процесса.
>Подмена типа региона памяти на MEM_IMAGE (для PE-образа без SafeSEH).
>Реализация собственного диспетчера исключений в обход всех проверок.
Может быть, это оно?

>>924883
Короче разобрался. Нашёл другую либу для загрузки PE из памяти - https://github.com/DarthTon/Blackbone/ С ней всё заработало.

Господа /pr/ограммисты
Немного не по теме но подкиньте какой-нибудь литературы для вкатывания в дизассемблирование
Благодарю покорно :3

>>925472
http://bfy.tw/9s7g
Неблагодари :3

>>925472
>Немного не по теме
На самом деле по теме. Это я проебался с названием.
>>925552
Не ходите по этой ссылке, там вирус! У меня от этой фигни брат на функциональных языках писать стал. И говорить.

Путём читания небольшого гайдика "Как написать свою ОС часть 1" и экспериментов я сделал программу, которая работает без опероционной системы и выводит на экран некоторое число, сохранённое в регистре ax. А затем выводит "press any key..." и ждёт когда кто то нажмёт эникей. Но ведь больше 510 байт программного кода написать нельзя. Чтобы дальше пойти, надо на месте этих 510 байт остаьные 2 — сигнатура написать загрузчик операционной системы. Но как это сделать? Что он из себя вообще представляет?

С тех пор как я начал изучать ассемблер я начал переставать понимать си. Мне кажется что си это вообще какой то бредовый эзотерический язык. И как я раньше на нём мог программировать?

>>925581-кун
Распишу свою проблему подробнее. Я хочу для себя писать программки, работающие без специальной ОС чтобы создать армию дронов-автоматчиков. И при этом мои программы будут, естественно больше 510 байт. Так как же загрузить в оперативную память код из участков памяти после первого (загрузочного) сектора?

>>925748-кун
Уже, похоже, решил проблему. Но я ещё не проверял, спать хочу. Вот здесь http://metanit.com/assembler/articles/MiniOS.php я нашёл код и загрузчика и ядра и даже программы для изменения текста.
Надеюсь меня не зобанют за рекламу сайта, на который только что наткнулся

Какие функции в биосе чтобы выводить пиксели, а не буковки?

>>927128
NEKOKIE. так в видеопамять напрямую и писали.

>>925882
Посмотри ещё http://osdev.ru/viewtopic.php?f=4&t=808
Это загрузчик ядра OS/2 (кто-то помнит такую?) - со своей собственной функциональностью запуска модулей и проч... в итоге получился такой небольшой DOS. Может жить и отдельно от OS/2 - на FAT/FAT32 разделе.

Опять протектор, VMProtect версии 2.07. Как пишут на васме, сложнее протектора нет. Определяет отладчик (OllyDbg с плагином StrongOD в Windows XP успешно скрывается), определяет виртуальную машину (а тут уже не знаю, что делать, разве что устанавливать второй ОС WinXP). Даже дамп не снять.
У кого-нибудь есть эта версия протектора? Сам нашёл только 2.1.0.

Не понимаю. Почему у меня выходит бесконечный цикл? По идее cx должен уменьшаться.

>>927188
Случайно 2 одинаковые картинки прикрепил из-за бага двача

>>927188
бамп, срочно надо. А то завтра смогу только после 15:00 вернуться к программе, но на завтра я запланировал просмотр анимы.

>>927141
>Как пишут на васме
Он же лежит уже несколько месяцев?

АЛСО, отличный сайт для изучающих глубины Windows:
http://geoffchappell.com/
Описание структур со смещениями для всех версий венды от NT 3.5 до десяточки, функции и ещё много всего. Я охуел от полезности этого сайта и решил его себе скачать целиком.

>>927215
>Описание структур со смещениями для всех версий венды от NT 3.5 до десяточки
http://msdn.moonsols.com/winxpsp3_x86/PEB.html

>>927215
>Он же лежит уже несколько месяцев?
http://wasm.in/forum/threads/kto-nibud-lomal-vmprotect.20683/

>>927242
Там только до спермооси, десяточки тонет.
>>927259
Что и доказывает, что wasm.ru лежит.
А на том форуме проебали 4 года форума и весь сайт.

>>927188-кун
Так и не понял в чём проблема, но решил тем что заменил
loop метка
на
dec cx
cmp cx,0
jz метка

Какие книги, ресурсы по ассемблеру посоветуете для начинающего?

>>927329
>Так и не понял в чём проблема
А где у тебя там было вычитание из cx?
>dec cx
>cmp cx,0
Нет нужды сравнивать с нулём.

>>927359
> А где у тебя там было вычитание из cx?
А что по-твоему делает loop?
мимо другой анон

>>927363
>А что по-твоему делает loop?
LOOP rCX
Decrement count; Jump short if count!=0
Ну да, не знал об этом. Ни разу не попадалась такая команда. В таком случае, у него cx = 0 в самом начале и не видно, чтобы ещё какая-то инициализация была, кроме той странной функции, что не приведена.

>>927329
Дональт Кнут.

>>927373
proverka увеличивает значение cx

В какой участок памяти записывать байты со значением RGB (24 битный), чтобы таким образом выводить информацию на экран? И какие функции биоса надо использовать?

>>927338
asmworld.ru, я там научился хелло ворлд делать в досе и простейший калькулятор. Потом походил по другим сайтам и теперь могу выводить и вводить буковки без специальной операционной системы (без линукса, виндовса).

>>927650
Если ты про Windows, то забудь сразу. Если DOS, то научись сначала чем-нибудь попроще пользоваться, типа https://en.wikipedia.org/wiki/Mode_13h а потом уже научишься VESA ебать.

>>927857
Походу это тот же чел, что пишет на асме на голом железе:
>>925581

>>928266
В этом случае совет все равно в силе. int 10h/func 00h/mode 13h - это BIOS.

Мне кажется, что мной выбран неправильный способ решения моей проблемы.
Мне нужно обойти защиту, которую так и не смог снять (VMProtect).
Защита контролирует контрольную сумму всех исполняемых файлов (легко обходится), наличие отладчика (тут уже никак не получилось) и, самое для меня трудное, проверяет, кто вызывает функцию из защищённой dll. Если вызывает нужный exe-файл (не знаю, как определяет, только по имени или как-то ещё), то всё в порядке. А если в стеке присутствует что-то другое (даже не на вершине стека, а предыдущая функция), то функция не срабатывает, как надо.
Идея у меня такая - увеличить виртуальный размер последней секции (не хочу, чтобы размер исполняемого файла менялся) и спроецировать на свободное место свою dll, которая будет вызывать нужные функции и которая заменит несколько функций в импорте исполняемого файла.
Чтобы избежать инъекции кода (как бы защита контролирует и этот способ, но не проверял, доверился описанию), добавил свою dll в импорт exe, которая при загрузке должна будет делать всю работу.
Как решаются подобные задачи?

В чём различия масма, фасма, тасма? Пойдёт ли код, написанный под один ассемблер, к другим?

>>929894D
> В чём различия масма, фасма, тасма?
В директивах компилятору. В способе записи адресов (все эти квадратные скобки, offset, addr, ptr и т. п.). В макроязыке. В основном, код от одного ассемблера можно преобразовать в другой очень быстро, вручную или какими-нибудь регэкспами. А еще есть AT&T-синтаксис, у них все через жопу.

>>929857
>Идея у меня такая - увеличить виртуальный размер последней секции (не хочу, чтобы размер исполняемого файла менялся) и спроецировать на свободное место свою dll, которая будет вызывать нужные функции и которая заменит несколько функций в импорте исполняемого файла.
Разве вмпротект позволит это сделать? Он же должен чекать контрольную сумму того исполняемого файла которым он накрыт. Или там только длл накрыта, а экзешник не накрыт?

>>930247
>Он же должен чекать контрольную сумму того исполняемого файла которым он накрыт.
>>929857
>Защита контролирует контрольную сумму всех исполняемых файлов (легко обходится),

>>929857
Всё сделал, как планировал. Увеличил виртуальный размер секции, модифицировал MemoryModule, чтобы можно было загружать исполняемый файл без выделения памяти, создал две dll, чтобы не было инъекции, одна загружается через импорт и проецирует вторую в нужную секцию. Вторая подменяет адреса нужных мне функций и реализует необходимый функционал. Всё успешно загружается, лог пишется. Но ничего не работает. Неужели протектор контролирует адрес вызываемой функции? Или контролирует границы секции, было так, а стало больше и вызывает кто-то за пределами? Ну что ему ещё не хватает?
>>930247
>Или там только длл накрыта
Накрыта dll, но защита контролирует целостность всех остальных модулей. Даже удаляет лишние dll, хорошо, что только по расширению проверяет, достаточно переименовать и такой файл не трогает. Размер не проверяется, только CRC32, что очень легко обходится.

Здравия желаю господа.
Так уж получилось, что у меня есть фетиш - писать ботов.
До этого ограничивался Cheat Engine-ом для поиска базовых адресов, оффсетов и т.д., но развиваться все же хочется.
Знаний минимум, ботов писал на простеньком Autoit, поначалу были обычные кликеры, потом бот работающий с пикселями, а теперь уже бот работающий с памятью.
Так уж получилось, что хочу поднять уровень своих знаний и доставать самую годноту с помощью Ollydbg(если я правильно понял, он имеет прямое отношение к ассемблеру).
Т.е., с Cheat Engine не напишешь бота с функцией Vac хака(функция вакуума, которая притягивает всех мобов к персонажу) и т.д., тут уже нужен Ollydbg для получения этих данных.
Будьте любезны, накидайте гайдиков и т.д., где затрагивают подобную тему.
Заранее премного благодарен.

>>930397
OllyDbg - это отладчик. С помощью него можно найти адреса необходимых тебе функций. Но вот писать своего бота ты будешь на каком-то языке программирования. Можешь выбрать любой язык, какой понравится.

>>930402
Спасибо за ответ анон, я это уже знаю.
Видимо я неправильно объяснил...
Я буду и дальше писать на Autoit, благо все нужное мне в нем есть, вплоть до инъекций, единственный его большой минус - отсутствие многопоточности.
Ну так вот, я просто хочу научиться доставать из Ollydbg данные, которые с помощью Cheat Engine не найти.
Пример:
Я вижу HP и MP своего персонажа и легко нахожу их базовые адреса и оффсеты с помощью Cheat Engine, делаю поиски этих данный с 4byte. Но и есть и такие вещи, которые я не вижу. Например, скорость атаки, скорость бега, расположения мобов на карте и т.д.
Вот для поиска именно таких значений мне и нужен Ollydbg.

>>891716 (OP)
Да вытолко пиздеть умеете, а когда надо отреверсить блоб модуль ядра нвидия то говорите что нвидия ненужна.

>>930664
Это люнупс не нужен.

>>930793
Without GNU/Linux there will not be 70% of jobs in IT.

>>930797
Ну да, люнупс своим требованием квалификации создаёт рабочие места на пустом месте.
Впрочем, мы отклонились от темы.

рейт май код, двач.
http://pastebin.com/GHbjYV0h
Он должен предлагать ввести число, потом ввести второе число, потом ввсети + или - или * или / и вывести что получилось. Но не всегда можно увидеть что вводишь и делить нельзя.
на голой без ОС

>>930389
Следующий день подходит к концу, а борьба продолжается. Защита действительно проверяет адрес вызывающей функции и, если он не равен тому, что в исполняемом файле, функция не работает. Такое нагородил уже в exe, приходится убирать весь код вокруг вызова, размещать его в другом месте, а здесь уже делать возможность вызова нужной мне функции. Хорошо, хоть у "cmp eax, 0FFFFFFFFh", которая идёт сразу же после функции, и "ret xxx" размер опкодов одинаков, а то ещё большие костыли пришлось бы городить. И всё это вручную. Плохо быть мной.

>>931238
Какая-то идиотская, ни от чего не защищающая проверка. Ищется в .exe байт 0xc3, все функции из .exe вызываются через трамплин, заменяющий оригинальный адрес возврата на адрес байта 0xc3, а за ним уже push-ащий оригинальный адрес возврата, все это можно автоматически генерить.

>>931323
>Какая-то идиотская, ни от чего не защищающая проверка
И это хорошо. Разработчику достаточно было немного усложнить свою защиту и было бы уже очень не просто. А тут даже исполняемый файл можно изменить без сложностей. Хорошо, что разработчик не понимает в реверсе. Зато защиту свою продаёт за даллары.
>Ищется в .exe байт 0xc3
Не пойму, что ты имеешь в виду. Можешь в псевдокоде показать?
Вызываемая функция находится в защищённой dll, адрес возврата в этой функции проверяется и, если он не совпадает с тем, что в exe файле, функция просто не работает.

>>931390
> разработчик не понимает в реверсе
Лолшто? Вмпротект сделал чувак с exelab (бывший cracklab) и как раз в реверсе он разбирается охуенно.

> Не пойму, что ты имеешь в виду. Можешь в псевдокоде показать?
Ну берешь и генерируешь себе для каждой вызываемой функции что-нибудь такое:
yoba:
pop edx ; Старый адрес возврата
mov eax,dword ptr[dll_base] ; Хэндл/базовый адрес DLL
add eax,RETN_RVA ; RVA любого байтика C3 из DLL
push eax
push edx
mov eax,dword ptr[dll_base] ; Хэндл/базовый адрес DLL
add eax,FUNC_YOBA_RVA ; RVA нужной функции в DLL
call eax
Функция вызывается, потом возвращает управление в DLL, но там C3 (retn), оно берет со стека следующий адрес и возвращается уже в твой код.

>>931408
>Вмпротект сделал чувак с exelab (бывший cracklab) и как раз в реверсе он разбирается охуенно
Нет, ты не понял. С VMProtect всё в порядке. Сам протектор использован для усложнения реверса dll. Но вот разработчик этой самой dll как раз в реверсе не очень-то и понимает. Вот он и продаёт свое поделие за даллары. Надеюсь, он не предусмотрел таймаут между вызовами функций.
>add eax,RETN_RVA ; RVA любого байтика C3 из DLL
В данном случае так не получится. Адрес возврата должен точно соответствовать определённому числу, тому, где находится вызов функции в exe. А после вызова идут проверки. Соответственно, чтобы вызов этой функции в самом exe работал, пришлось городить переходы в свободные области файла, а здесь делать нормальный вызов с возвратом прямо посередине существующей функции (а чтобы не мучаться с поиском этих функций, добавил их в экспорт).

>>891716 (OP)
Поцоны, выручите ньюфага по ассемблеру, вернее ассемблеру в FASM. Хочу себе вывести на экран линию между двумя точками, как в пеинте. Пока что я только начал. Комментарии ставить не буду чтобы поучились реверс инженирингу.
Так не работает почему-то
http://pastebin.com/mFP1UZR6

>>931863
> Комментарии ставить не буду чтобы поучились реверс инженирингу.
Отвечать не будем, чтобы поучился гуглить.

>>930908
>е число, потом вв
Неплоохо

Анон, дай готовый алгоритм для подделки CRC32 путём внедрения байт в произвольное место. В статье КК мне не понятны два последних (и основных) пункта, а приведённые листинги не полные.

>>933017
Сходи по ссылкам в статье криса (если сдохли, есть веб.архив.орг). Там, в частности, упоминается CRC and how to reverse it, ее и читай. И там вроде код был.

>>933037
>CRC and how to reverse it
Моя благодарность тебе, анон. Не знал, как на английском задать подобный вопрос. Через него вышел на вот этот pdf https://sar.informatik.hu-berlin.de/research/publications/SAR-PR-2006-05/SAR-PR-2006-05_.pdf . Там есть исходный код.

>>924262
В общем продолжаем банкет. Надекомпилял тут файлик:
http://pastebin.com/dKrhniNV
Проблема в том, что при компиляции обратно секция PAGEVRFC объявляется как Read/Write, а в оригинале она просто Read. В итоге при линковке получается две секции с разными правами. Всякие там
#pragma comment(linker,"/SECTION:PAGEVRFC,R").
не катят, как и R!W.
В общем где я ошибся и как заставить компилировать в секцию с правильными правами?
Ну и ещё у меня только 240 строк, тогда как в оригинале больше 300, ну да пофиг.

Просто интересно, ради так сказать удовлетворения моей убогой любознательности. А вашим эти РЕ можно на доширак заработать? Или это только форма искусства?

>>935428
Что ещё за РЕ? Не пиши не понятными аббривеатурами.

Пожалуйста, дайте мне какой нибудь бесплатный дизассемблер.

Как я понимаю чтобы сделать таймер на ассемблере надо засечь число тактов и знать тактовую частоту процессоа. Как я понял число тактов можно засечь с помощью команды rdtsk, а как узнать тактовую частоту процессора?

>>935481
Reverse Engineering очевидно же.
>>935483
Ida Pro 6.8, новее не утекали.
Ну или Ida 5.0 раздаётся бесплатно официально.

>>935572
>Reverse Engineering очевидно же
Написал бы РИ или RE.
С помощью реверст инжениринга можно пересобрать какую нибудь простую игру и выдать за свою. И продавать.
Но я так только думаю. И вообще нужны хорошие навыки как ассемблирования так и дезассемблирования.

>>935676
>/ili niet?
Пофиксил коммент, не благодари.

>>935676
> bandicam
Виртуалбокс умеет писать видео сам по себе (Устройства - Захват видео).

>>935676
Для чего ты использовал rdtsc в своём коде?

>>935318
В общем пришлось вколачивать костыль в билд систему, чтобы перед линковкой снимать этот атрибут с помощью link.exe.
Вопрос, как обойтись тут без костылей, остаётся в силе.

>>937670
> #pragma data_seg("PAGEVRFC")
> #pragma const_seg("PAGEVRFC")
> в оригинале она просто Read
Зачем тогда ты создаешь в read-only секции перезаписываемые переменные? Тебе не кажется, что в этом есть какое-то противоречие?

>>937721
Хмм... Логично. Впилил это, когда массивы не были объявлены константными. Как всегда, компилятор оказался умнее меня.
Блядь, 4 дня никто не мог посмотреть этот код и выявить эту мою тупейшую ошибку.
Спасибо, анон, добра тебе. С твоей помощью полные сырцы ядра Windows XP стали немного ближе.

Блин, куда бы вылить свои наработки? Всякие гитхабы и прочие битбэкеты выпилят результаты реверса винды на раз, кмк. А то вдруг кто присоединится.