[HowTo]Injizieren mit Kernel Detective auf 32Bit

[Dr. C]

Tagchen.

Dieses Tutorial richtet sich vor allem an die Anfänger in der Szene! Erfahrene User sind dazu aufgerufen, ihre Meinung zu äußern, sollten hierbei jedoch nicht vergessen, dass es auch weniger erfahrene User gibt.

Da hier einige Probleme mit dem Injizieren von Zusatzprogrammen in den Metin2 Prozess zu haben, werde ich nun mal versuchen, ein möglichst genaues Tutorial dazu zu veröffentlichen. Dieses Tutorial ist explizit an Win Vista / Win 7 User mit 32 Bit Systemen gerichtet! Es wird Kernel Detective v1.4.1 verwendet (Download s. Anhang).

Schritt 1 : Bereit?

Spoiler:

Zunächst sollten wir überprüfen, ob wir über alle nötigen Ressourcen für eine erfolgreiche Injizierung verfügen. Folgende Dinge sind erforderlich :

• Ein voll funktionsfähiger
• Ein Injector (Bsp.: )
• Eine Bibliothek (.dll-Datei), welche Injiziert werden soll (Bsp.: )
• Administrator Rechte auf dem verwendeten PC ()

Ob die injizierte Bibliothek nun die gewünschte Wirkung hat, hängt selbstverständlich noch von weiteren Faktoren ab. Auf diese gehen wir nun aber nicht näher ein.

Schritt 2 : Metin2 Starten

Spoiler:

Als nächstes wird empfohlen, Metin2 zu starten, bestenfalls über einen sogenannten "Patcher-Bypass". Solltet ihr noch keinen haben ("start.bat" o.ä.), empfehle ich euch den Allround Patcher-Bypass von Mi4uric3. Lest euch einfach mal seinen Thread durch, dort ist alles verständlich beschrieben.
Ihr macht alles wie gewohnt, bis ihr InGame seid.

Schritt 3 : Die Vorarbeit mit dem Injector

Spoiler:

Bis dahin nichts neues, oder? Denn das kommt jetzt;
Ladet euch die Datei aus dem Anhang herunter & entpackt sie irgendwo hin, sodass ihr folgende Anwendung sehen könnt : .
Diese startet ihr nun via Doppelklick, woraufhin folgendes Fenster erscheint :

Spoiler:

Entschuldigt die saumäßige Qualität, aber wichtig ist der Inhalt & der ist erkennbar.

Ihr bestätigt nun mit , woraufhin ein weiteres, auf den ersten Blick recht kompliziertes Fenster erscheint:

Spoiler:

Wie ihr bestimmt schon unschwer erkennen könnt, sind dort eure beiden bisher in diesem Tutorial gestarteten Prozesse erkennbar.
Die Vorarbeit ist hiermit abgeschlossen. Nun kann der eigentlich Injektionsprozes beginnen.

Schritt 4 : Die Injection

Spoiler:

Nun folgt der wahrscheinlich schwierigste Teil des ganzen : Die eigentliche Injection. Ich werde mich bemühen, auch diesen Vorgang möglichst einfach zu erklären.
Wir befinden uns also in unserem Injector Kernel Detective & müssten dort irgendwo unseren Metin2-Prozess sehen können (falls nicht, einfach mal durchscrollen...). Zur Hilfe: Der gesuchte Prozess hat ein solches Bildchen ganz links & endet gewöhnlicherweise mit .
Haben wir ihn der Liste gefunden, klicken wir ihn einfach mal an. Sofort färbt sich dieser Blau :

Das ist gut so.
Wir fahren fort, indem wir in der oberen Toolliste von Kernel Detective auf klicken. Solltet ihr den Button nicht finden, folgt hier die Position der Funktion in der Toolliste :

Spoiler:

Wir befinden uns nun in einer Liste aller Bibliotheken, die Metin2 verwendet & sind fast am Ziel angelangt. Wir können nun irgendeine beliebige Bibliothek von Metin2 nehmen & sie mit der rechten Maustaste anklicken, woraufhin ein Menü erscheint (Ich habe mich jetzt mal für metin2client.bin entschieden, prinzipiell müsste es aber mit allen anderen Metin2 Bibliotheken auch funktionieren) :

Spoiler:

Dort wählen wir nun die Funktion
Wir werden zum Explorer weitergeleitet, wo dir nun die Bibliothek (.dll) auswählen sollen, welche wir zu injizieren wünschen. Beispielhaft nehmen wir nun mal die -Datei & drücken (unten).

Es erscheint es kleines Fenster von Kernel Detective :

Spoiler:

Das bestätigen wir mit & dann erscheint ein weiteres Fenster. Es handelt sich dabei um die von euch gewählte Bibliothek, hier Beispielhaft M2Fish.dll (Version 4.1) :

Spoiler:

Das wars auch schon
Ich hoffe, ich konnte so manchem von euch helfen.
Feedback's wären nett, da es sich um mein 1. TuT handelt. Hierbei bitte schön sachlich bleiben, auch wenn ihr gerade nicht gut drauf seid.
Vielleicht habe ich ja den einen oder anderen von euch nach dieser kleinen Einführung in eine Funktion dieses großartigen Programmes dazu inspiriert, mal selber etwas darin rumzusuchen

Gruß
Dr. C

[Headpuster]

Gut, aber warum Kernel Detective dafür nutzen?
Erstmal funktioniert das nur auf 32 Bit, da es unter 64 Bit keine r0 Treiber mehr gibt.
Da nutzt man doch lieber PerX oder so.

[F.R.E.E]

Sehr nice. Hilft wie du schon geschrieben hast vorallem den neulingen.

[Computerfreek]

Originally Posted by Headpuster

Gut, aber warum Kernel Detective dafür nutzen?
Erstmal funktioniert das nur auf 32 Bit, da es unter 64 Bit keine r0 Treiber mehr gibt.
Da nutzt man doch lieber PerX oder so.

Klar gibts die. Treiber laufen fast grundsätzlich nur im Ring0, egal ob 32 oder 64 bit. Jedoch müssen die Treiber bei x64 auch signiert sein, bei x86 ist das egal.
Kenne das Programm schon länger und finde dass es fast zu schade dafür ist als Injector missbraucht zu werden.
Winject kann in dieser hinsicht mehr und funktioniert auch einfacher.

[Dr. C]

Originally Posted by Computerfreek

Kenne das Programm schon länger und finde dass es fast zu schade dafür ist als Injector missbraucht zu werden.
Winject kann in dieser hinsicht mehr und funktioniert auch einfacher.

Zu Schade ist es dazu nicht, zumindest meiner Meinung nach ^^
Außerdem soll es den Leuten, die es nutzen mal evtl. Denkanstöße geben, was man denn so alles mit dem Client machen kann... Dadurch ich habe z.B. angefangen

[Mi4uric3]

Juhuu, jetzt wird Kernel Detective bald vom Hackshield erkannt, und man kann es nicht mehr zur Analyse des EagleNt.sys-Treibers nutzen, dankeschön.

[Dr. C]

Originally Posted by Mi4uric3

Juhuu, jetzt wird Kernel Detective bald vom Hackshield erkannt, und man kann es nicht mehr zur Analyse des EagleNt.sys-Treibers nutzen, dankeschön.

Immer gerne
Wenn du nen anderen brauchst, sag bescheid ^^
Analyseprogramme für die sys-Treiber gibts wie Sand am Meer, so viele kann das dumme Schild gar nicht erkennen x3 Das Ding kann sowieso nichts
Wie wärs mit etwas Kritik/Lob zum Thread & nicht zu seinen Auswirkungen ?

[Computerfreek]

Bis auf den Umstand dass bei mir die Bilder nicht angezeigt werden (sollten doch welche vorhanden sein, oder?) hab ich nichts weiter beizutragen eigentlich.
Es ist ein bisschen viel Text für die drei Klicks, aber naja, geschmackssache.
Nenn doch mal ein Programm mit dem man die Treiber so relativ einfach analysieren kann wie mit Kernel Detective. Und komm um Gottes Willen nicht mit irgendwelchen Anti-Rootkit Dingern an. Die kannst du dir in 98% der Fälle sonst wo hin stecken.

[Dr. C]

Originally Posted by Computerfreek

Bis auf den Umstand dass bei mir die Bilder nicht angezeigt werden (sollten doch welche vorhanden sein, oder?) hab ich nichts weiter beizutragen eigentlich.
Es ist ein bisschen viel Text für die drei Klicks, aber naja, geschmackssache.
Nenn doch mal ein Programm mit dem man die Treiber so relativ einfach analysieren kann wie mit Kernel Detective. Und komm um Gottes Willen nicht mit irgendwelchen Anti-Rootkit Dingern an. Die kannst du dir in 98% der Fälle sonst wo hin stecken.

Wenn bei dir keine Bildchen gezeigt werden, liegt das definitiv an dir ^^
Nichts? Rein Gar nichts? Naja, viel text; ich wollte es halt gaaanz genau haben, wie gesagt für komplette Anfänger ich wollte, dass es so ein TuT wird, das iwo zitiert wird mit "Lies dir doch bitte mal das hier durch, da wird alles elementar für Anfänger erklärt, daher der viele Text...
Zu dem Programm... Was' mit dem Olly? Haben den denn schon alle vergessen? Und wenn überhaupt einer Schuld an dem Erkennen von KDetective vom shield hat, ist das Slait! Der hat das in seinen Bot reingepackt & dort wird es viel eher betrachtet als in diesem Thread Aber bis zu diesem Punkt ist es noch laaange hin, wenn er überhaupt je kommen wird x3
Ich gebe zu, die meisten Anti-Rootkit Teile sind crap, aber es gibt auch gute... Ich such mal einen raus, vor einiger Zeit hatte ich da mal einen gefunden ( benutzt habe ich den trotzdem nicht )

[Computerfreek]

Nein, rein garnichts. Nur Text + Spoiler.

OllyDBG ist das wohl meist bekannte und gleichzeitig auch am meisten erkannte Debuggerprogramm.
Zeig mir doch mal wie du ein mit der neuen Themida-Version geschützes Programm mit Olly debuggen willst.
Ausserdem kann ODBG mit Treibern nichts anfangen..
Und mit einem Anti-Rootkit Tool kannst du alles mögliche machen, aber ganz sicher weder debuggen noch analysieren.

Und noch was:
Ich bin mir ziemlich sicher dass es relativ bald zu einer Detection kommen wird.
KernelDetective arbeitet auch mit einem Treiber und der ist ziemlich einfach zu erkennen.

/edit:
Macht man sich denn nicht immer Gedanken zumindest ein paar über den Tod?
Ich habe noch niemanden hier gesehen der das HackShield zu 100% bypassen kann.
Es sind zwar schon einige weiter gekommen sodass verschiedene Erkennungen nichtmehr funktionieren, ein vollwertiger Bypass ist das aber noch nicht finde ich.
Ich finde es lediglich ein wenig schade. Aber naja gut, was solls.
Ein Tool hast du mir jedoch noch nicht genannt sondern bist auf alle Aussagen von mir lediglich ausgewichen. Keine Gegenargumente?