Wie finde ich eine Adresse, um eine EXE-Datei zu öffnen?

Question

Ich fuhr wieder gegen eine Wand und brauche deine Hilfe mit etwas Low-Level-Zeug. Es ist mir bereits gelungen, exportierte DLL-Funktionen (with this code btw.) zu haken, indem ich sie in meinen Zielprozess injizierte (z. B. kann ich einfach MessageBoxW von user32.dll umleiten). Leider ziele ich auf ein anderes Szenario ab: Ich muss eine Funktion umgehen, die in der ausführbaren Datei definiert ist, in die ich meinen Code einfüge. Die Anwendung ist Open-Source, also weiß ich alles über die Funktion, die ich zum Einhängen benötige, aber die Binärdatei ist mit einem Zertifikat signiert, so dass ich meine eigene Version nicht kompilieren kann. Ist es möglich, die Adresse der Funktionen zur Laufzeit abzurufen oder mit einer anderen Technik umzuleiten? Das Ziel ist eine "normale" 32-Bit-Windows-Binärdatei. nichts Besonderes dachte ich;)

Mit freundlichen Grüßen Nefarius

EDIT: vielleicht aufgrund meines lahm Englisch mir nicht detailliert genug war, so dass hier ein kleines Codebeispiel:

int WINAPI WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nShowCmd) 
{ 
    foo(); 
} 

BOOL foo(char* someData) 
{ 
    return printf("%s", someData); 
} 

Now I möchte die Funktion foo() umgehen, die in einer dynamischen Bibliothek nicht existiert. Das ist mein Problem. Ich weiß nicht wie und ich bin mir nicht sicher, ob das so funktioniert, wie ich denke.

EDIT: Jetzt weiß ich, dass es möglich ist, so dass die wichtige Frage geändert: wie? Wie bekomme ich die Informationen, die ich brauche? die Funktionen Adresse?

Answer 1

erwerben ich mein Ziel mit einem paar Low-Level-Windows-API-Funktionen Einhaken, nicht die beste Lösung, aber es funktioniert, Assembler Mine ist nicht ...

Answer 2

Sicher, verwenden Sie einfach so etwas wie Ollydbg, um einen Haltepunkt zu setzen, und bearbeiten Sie die Assembly, nachdem die ausführbare Datei geladen wurde (und die Überprüfung des Zertifikats abgeschlossen ist). Um dies dauerhaft zu tun, ist es etwas anspruchsvoller, aber je nachdem, wie ausgefeilt die Zertifikatsprüfung ist, können Sie dieses Bit einfach umgehen, indem Sie es durch eine NOP ersetzen (keine Operation).

EDIT: Wenn Sie 64-Bit-Windows ausführen, haben Sie möglicherweise mehr Glück mit Microsoft eigenen Debugging Tools. Ich habe sie nie benutzt, also habe ich keine Ahnung, wie sie mit Ollydbg vergleichen.

Answer 3

Wenn dies für etwas ist, das mehr als eine einmalige Debugging-Zeit ist, schauen Sie in Microsoft Detours, eine API für Hooking-Funktionen.

Answer 4

Sie müssen die Funktionen Adresse dann ein jmp an der Funktionen Einstiegspunkt zu Ihrer Prozedur einfügen und dann die ursprüngliche proc wiederherstellen und dann zurück auf die ursprüngliche Funktion.

Answer 5

Verwenden Sie EasyHook dafür. Mit dieser Bibliothek können Sie eine Funktion mit der Adresse abfangen.