ASM Befehl überschreiben

[Croco™]

Abend,
ich habe folgenden ASM Code in einem Programm den ich gerne durch das darunter stehende ersetzen will:

Orginal:

JPO client.5957636D

Verändert:

JMP client.5957636D

Das ganze habe ich wie folgt versucht:

PHP Code:

#RequireAdmin
#include 'Detour.au3'
$Open = OpenProcess($PROCESS_ALL_ACCESS, False, ProcessExists("test.exe"))
    $Write = WriteProcessMemory($Open, 0x59575E5E, "E9 0A050000")
CloseHandle($Open) 


Ich verstehe leider noch nicht ganz in welcher form man den ASM Befehl ersetzen muss !? Ich habe hier mal den Hex Code genommen der neben dem Befehl in OllyDBG stand (E9 0A050000) doch bin mir nicht sicher ob das so richtig ist ?

[K1ramoX]

mach das ganze doch per nomadmemory

#include <NomadMemory.au3>

$ProcessID = ProcessWait("test.exe")
$Memoryhandle = _MemoryOpen($ProcessID)
_MemoryWrite(0x59575E5E, $Memoryhandle, "0xE90A050000", "byte[5]")
_MemoryClose($Memoryhandle)

besser wär es jedoch, die letzten 4 bytes der adresse wegzulassen. heißt ich würde es lieber so machen:

#include <NomadMemory.au3>

$ProcessID = ProcessWait("test.exe")
$Memoryhandle = _MemoryOpen($ProcessID)
_MemoryWrite(0x59575E5E, $Memoryhandle, "0xE9", "byte[1]")
_MemoryClose($Memoryhandle)

[Croco™]

Wieso ist es besser die letzten 4 weg zu lassen ?

[Shadow992]

Originally Posted by ©ⓡⓞ©ⓞ

Wieso ist es besser die letzten 4 weg zu lassen ?

Wenn du die 4 Bytes weglässt, funktioniert dein programm auch wenn sich die addresse ändert. Prinzipiell macht es aber keinen so großen Unterschied, weil wenn sich der Code ändert wird sich mit Sicherheit auch die Stelle ändern an der der Code steht.

Btw. du musst den Code wie du oben geschrieben hast einfügen lassen, ja. Prinzipiell is dein Code richtig aber wenn du auf Nummer sicher gehen willst benutze diese UDF:

Und schau dir _MemoryWriteBytes an. Das is genau das was du suchst.

[Croco™]

Ich habe gerade nochmal in OllyDBG nach meiner Adresse gesucht und festgestellt das sie sich beim Neustarten des Programmes ändert. Brauche ich nun den Pointer oder wie kann ich mir das vorstellen ?

[K1ramoX]

Originally Posted by Shadow992

Wenn du die 4 Bytes weglässt, funktioniert dein programm auch wenn sich die addresse ändert. Prinzipiell macht es aber keinen so großen Unterschied, weil wenn sich der Code ändert wird sich mit Sicherheit auch die Stelle ändern an der der Code steht.

er kann ja nen pattern scan einbauen o:

[Shadow992]

Originally Posted by K1ramoX

er kann ja nen pattern scan einbauen o:

Was meinste warum ich auf meine UDF verlinkt habe, die ganz zufällig nen Pattern-Scan implementiert hat? ;D

Originally Posted by ©ⓡⓞ©ⓞ

Ich habe gerade nochmal in OllyDBG nach meiner Adresse gesucht und festgestellt das sie sich beim Neustarten des Programmes ändert. Brauche ich nun den Pointer oder wie kann ich mir das vorstellen ?

Dafür brauchst du einen Pattern-Scan.
Am besten du googlest mal nach Pattern-Scan tutorials.

[K1ramoX]

Originally Posted by Shadow992

Dafür brauchst du einen Pattern-Scan.
Am besten du googlest mal nach Pattern-Scan tutorials.

pattern scan bei ner dynamischen adresse? dafuq

[Shadow992]

Originally Posted by K1ramoX

pattern scan bei ner dynamischen adresse? dafuq

Er hat sich undeutlich ausgedrückt.
Entweder er meint die Addresse an der der Code steht, dann ist Pattern-Scan die einzige sinnvolle Möglichkeit.

Oder er meint die Addresse hinter dem JMP-Befehl aber auch dann ist ein Pattern-Scan möglich.

Man scannt einfach bis zum Jump und liest dann per ReadProcessMemory die darauf folgenden Bytes aus und wandelt sie entsprechend in eine Zahl um und schon hat man seine Addresse.

Egal was von beidem es ist, da er bereits die Stelle im Code hat und nicht die Addresse in CE, ist ein Pattern-Scan bei beiden Varianten keineswegs overpowered.

[K1ramoX]

Originally Posted by Shadow992

Er hat sich undeutlich ausgedrückt.
Entweder er meint die Addresse an der der Code steht, dann ist Pattern-Scan die einzige sinnvolle Möglichkeit.

Oder er meint die Addresse hinter dem JMP-Befehl aber auch dann ist ein Pattern-Scan möglich.

Man scannt einfach bis zum Jump und liest dann per ReadProcessMemory die darauf folgenden Bytes aus und wandelt sie entsprechend in eine Zahl um und schon hat man seine Addresse.

Egal was von beidem es ist, da er bereits die Stelle im Code hat und nicht die Addresse in CE, ist ein Pattern-Scan bei beiden Varianten keineswegs overpowered.

er schrieb dass sich die adresse nach jedem game neustart verschiebt. heißt also, dass er nen pointer scan machen muss, was bringt denn ein pattern scan bei einer dynamischen adresse? schon alleine wegen der maske kann das garnit luppen ;o

nochmal zu dem patterscan, er brauch einfach nur ne pattern loggen bis zu dem jmp, will er die addy nach dem jmp rechnet er einfach die addy +4 oder wie viel bytes die addy halt hat

[Shadow992]

Originally Posted by K1ramoX

er schrieb dass sich die adresse nach jedem game neustart verschiebt. heißt also, dass er nen pointer scan machen muss, was bringt denn ein pattern scan bei einer dynamischen adresse? schon alleine wegen der maske kann das garnit luppen ;o

nochmal zu dem patterscan, er brauch einfach nur ne pattern loggen bis zu dem jmp, will er die addy nach dem jmp rechnet er einfach die addy +4 oder wie viel bytes die addy halt hat

Das ist totaler Quatsch er hat selbst gesagt, dass sich die Addresse in OLLY andauernd verschiebt, das heißt er hat jetzt erst einmal nichts mit Pointern am Hut und wenn es nicht mehr möglich ist einen Befehl über Patter-Scan zu finden, dann ist es erst recht nicht möglich den Pointer dazu zu finden, das kannst du vergessen.

Abgesehen davon scheinst du nicht zu wissen was ein Pattern-Scan bzw. ein Pointer wirklich ist, sonst würdest du merken, dass es möglich ist (und auch mit viel höherer Sicherheit) Pointer ebenso über Pattern-Scan rauszufinden.

[Croco™]

Man lernt ja viel wenn Zwei sich streiten ähh diskutieren natürlich.
Ich wollte nochmal kurz eine Frage in den Raum werfen.
Wenn ich jetzt z.B mit CE nach einem Wert suche, und dann die Adresse von diesem in Olly suchen lassen, habe ich dann meine Basis für meinen Pattern Scan ?
(Ich hab mir mal folgendes Tutorial angesehen: )