Launcher'siz KnightOnline.exe başlatma hakkında.

[infiltrate 42]

Kendimi RCE konularında geliştirmek için böyle denemeler yapıyorum.Unpacking işinde iyi olmadığım için Launcher üzerinde denemelere başladım.KnightOnline.exe'yi nasıl çalıştırdığına bakmak için ShellExecute ve CreateProcess api'lerine breakpoint koyarak baktım.

HINSTANCE ShellExecute(

  _In_opt_ HWND    hwnd,

  _In_opt_ LPCTSTR lpOperation,

  _In_     LPCTSTR lpFile,

  _In_opt_ LPCTSTR lpParameters,

  _In_opt_ LPCTSTR lpDirectory,

  _In_     INT     nShowCmd

);

Run ettiğimde ShellExecute'deki breakpointte duruyor.



Stack'de bu parametreleri görüyorum.Aynı parametreler ile C++'da yazdığım bir console app'de ShellExecute api'sine bu parametreleri geçiyorum fakat "Launcherden çalıştırın" hatası veriyor.

LPCTSTR lpParameters parametresine geçilen 14600 parametresi sürekli değişiyor.Acaba bu yüzden mi bu hatayı alıyorum?Yeni olduğum için o değerin nerede/nasıl üretildiğini takip edemiyorum.

@ PENTAGRAM @ DEVILCRAFT @ OzkanOzdemir @ EveryBodyFool
(Etiketlemem sıkıntı ise; k.bakmayın.)

Yardımlar için şimdiden teşekkürler.

[PENTAGRAM 926]

Evet, o yüzden alıyorsun. Yapman gereken şey, 246E148 konumuna memory write bp koyup, hangi fonksiyon(lar) bu adresteki veriyi değiştiriyor onu takip etmelisin. Bulduğunda, parametrenin neye göre üretildiğini fonksiyondan çıkartabilirsin. Tahminimce zaman bazlı bir değer olabilir.

[infiltrate 42]

Alıntı

Evet, o yüzden alıyorsun. Yapman gereken şey, 246E148 konumuna memory write bp koyup, hangi fonksiyon(lar) bu adresteki veriyi değiştiriyor onu takip etmelisin. Bulduğunda, parametrenin neye göre üretildiğini fonksiyondan çıkartabilirsin. Tahminimce zaman bazlı bir değer olabilir.

memory write bp koysam bile değer üretildiği için bir işlevi olmuyor.yeniden debug etsem o adress değişiyor.Ne yapabilirim başka?

[infiltrate 42]

O değişen değer launcherin processId'si onu buldum.Fakat hala çalıştıramıyorum :D Başka bir fikri olan var mı? hö

[HKS 341]

Örnek: ShellExecute('KnightOnline.exe E03ED890-8E94-4B42-B1C5-3CDA401AA9C2')

Yaparak başlatabilirsin

[infiltrate 42]

Alıntı

Örnek: ShellExecute('KnightOnline.exe E03ED890-8E94-4B42-B1C5-3CDA401AA9C2')

Yaparak başlatabilirsin

Doğru cevap, fakat ben neden kendim bulamadım bunu:)Herhalde KnightOnline.exe'nin içinde mevcut bu.Ben Launcherin nasıl call ettiğine bakıp, call ediyorum.Fakat KnightOnline.exe'nin içinde onu call eden process'in doğruluğunu kontrol eden başka yapılar var sanırım.

[infiltrate 42]

Unpack edilmiş bir KnightOnline.exe'yi static analiz için açtım ve gördüğüm kadarıyla je knightonline.9ADA9A ile kontrol ediliyor.Eğer eşit değil ise Launcher'den çalıştırın hatası veriyor.Fakat static analiz ile bu değere ulaşmam zor gibi.