Encoder programmieren

[Thomas95]

Hey Leute (:

Kennt jemand von euch ein gutes Tutorial oder noch besser ein gutes Buch für die Programmierung und Erklärung eines Encoders/Crypters oder anderer Antivirus Bypass Methoden?

Hab mir schon ein paar Bücher gekauft und viele davon haben empfohlen, dass ich die Encoder von Kali-Linux verwenden soll, aber ich will genau verstehen wie ein Encoder funktioniert und meinen eigenen schreiben.

Danke schon im vorhinein,
ich freue mich schon neues zu lernen (:

 

[IKäsebrot]

Welche Bücher hast du dir geholt? Wäre auch interessiert.

 

[[GP] mino]

wie kann dieses wissen konstruktiv eingesetzt werden? gibts da beispiele?

 

[can320]

Antivirus Bypass Methoden?

Meinst du die Crypter, die dafür sorgen, dass Schadsoftware vom AV Programm nicht erkannt wird? Glaube kaum, dass es das richtige Forum für solche Fragen ist....

 

[Thomas95]

Michael Messer – Metasploit
Bastian Ballmann – Network Hacks
Frank Neugebauer – Penetration Testing mit Metasploit
Justin Seitz – Hacking mit Python

 

[[GP] mino]

aus der dunklen seite du rauskommen musst, junger padawan

investiere deine kräfte lieber in etwas brauchbares. hilf zb. dieser hier.

 

[Thomas95]

Meinst du die Crypter, die dafür sorgen, dass Schadsoftware vom AV Programm nicht erkannt wird? Glaube kaum, dass es das richtige Forum für solche Fragen ist....

Ja, da diese nicht nur dazu dienen Schadsoftware vor AV Programmen zu verstecken sondern auch das Reengineering meines Programms zu verhindern/erschweren.
Und ich möchte
1. meine Programme schützen können
2. wissen wie das genau funktioniert, weil dieses Thema sehr interessant ist (will bald IT-Sec studieren)

 

[dude90]

Justin Seitz – Hacking mit Python

Übrigens wenn man wirklich daran interssiert ist, dann sollte man sich eher Bücher kaufen bei denen es darum geht Sicherheitslücken zu schließen und zu vermeiden. (z.B. wie man bei Datanbanken MYSQL injections verhindert etc.)
Natürlich nur falls man auch die Techniken dahinter verstehen will, sonst kann man auch einfach solche "Hacking" Bücher kaufen, die einem sagen nimm jetzt das Tool und danach dieses Tool.
Das Wissen über Sicherheitslücken auszunutzen fällt dann als Nebenprodukt am Ende herunter.

 

[westef]

Lies dir die Dokumentationen zum PE-Format durch und lerne, wie der PE-Loader funktioniert. Ansonsten gibt es auch OpenSource-Tools, die genau sowas machen. Du kannst dir ja einfach mal den Source von Metasploit anschauen oder z.B. "Hyperion" von hier: http://nullsecurity.net/tools/binary.html. Auf der Seite gibts auch ein Paper mit Theorie dazu.

 

[Thomas95]

Übrigens wenn man wirklich daran interssiert ist, dann sollte man sich eher Bücher kaufen bei denen es darum geht Sicherheitslücken zu schließen und zu vermeiden.
Natürlich nur falls man auch die Techniken dahinter verstehen will, sonst kann man auch einfach solche "Hacking" Bücher kaufen, die einem sagen nimm jetzt das Tool und danach dieses Tool.
Das Wissen über Sicherheitslücken auszunutzen fällt dann als Nebenprodukt am Ende herunter.

Hab doch gesagt noch besser ein Buch

Wenn es mich nicht interessieren würde wie solche Techniken funktionieren würde ich mich einfach irgendwelche Tools nehmen und keine Bücher kaufen. (;

Ergänzung (16. Juli 2014)

Lies dir die Dokumentationen zum PE-Format durch und lerne, wie der PE-Loader funktioniert. Ansonsten gibt es auch OpenSource-Tools, die genau sowas machen. Du kannst dir ja einfach mal den Source von Metasploit anschauen oder z.B. "Hyperion" von hier: /*URL*/. Auf der Seite gibts auch ein Paper mit Theorie dazu.

Danke

Kannst du mir vielleicht ein paar OpenSource Projekte sagen? (:

Alles was ich gefunden habe war nicht OpenSource, stark veraltet oder aus anderen Gründen nicht brauchbar.

 

[whitepanda]

hi

solche produkte gibt es bereits fertig -> google themida/codevirtualizer/vmprotect

wenn du das wirklich ernsthaft machen willst bleibt dir ein tiefer einstieg ins pe/pe+ format nicht erspart und je nachdem wie "gut" du deinen crypter/pe protector implementieren willst brauchst du excellente assembler kenntnisse.

der einfache weg wäre eine zusätzliche section für den loader code und encrypted code section deiner anwendung anzulegen, allerdings müsste das dann zur runtime wieder decrypted werden und wäre somit sowohl sehr anfällig für debugging/reverse engineering,als auch für pattern scans von antivirensoftware.

the way to go wäre die implementierung einer custom vm inclussive handler/p-code, junk code generation und metamorpher code generierung, also im prinzip alles was du auch so beim compilerbau benötigst und somit ein extrem komplexes thema..so aus dem stehgreif kann ich dir davon nur abraten

yoda's protector deckt zumindest die basic features ab und ist opensource, unter http://yodap.sourceforge.net/ kannst du den code einsehen, dann weisst du ansatzweise was auf dich zukommt bei sowas.

ansonsten würde ich foren wie woodman/rohitab etc empfehlen,dort gibt es auch material dazu

 

[westef]

Kannst du mir vielleicht ein paar OpenSource Projekte sagen? (:

Alles was ich gefunden habe war nicht OpenSource, stark veraltet oder aus anderen Gründen nicht brauchbar.

Hast du meinen Post gelesen? Ich hab doch Vorschläge gemacht. In Metasploit sind Encoder dabei, das ist Open Source, das kannst du dir alles anschauen. Und Hyperion ist auch Open Source.

 

[Thomas95]

hi

solche produkte gibt es bereits fertig -> google themida/codevirtualizer/vmprotect

wenn du das wirklich ernsthaft machen willst bleibt dir ein tiefer einstieg ins pe/pe+ format nicht erspart und je nachdem wie "gut" du deinen crypter/pe protector implementieren willst brauchst du excellente assembler kenntnisse.

der einfache weg wäre eine zusätzliche section für den loader code und encrypted code section deiner anwendung anzulegen, allerdings müsste das dann zur runtime wieder decrypted werden und wäre somit sowohl sehr anfällig für debugging/reverse engineering,als auch für pattern scans von antivirensoftware.

the way to go wäre die implementierung einer custom vm inclussive handler/p-code, junk code generation und metamorpher code generierung, also im prinzip alles was du auch so beim compilerbau benötigst und somit ein extrem komplexes thema..so aus dem stehgreif kann ich dir davon nur abraten

yoda's protector deckt zumindest die basic features ab und ist opensource, unter http://yodap.sourceforge.net/ kannst du den code einsehen, dann weisst du ansatzweise was auf dich zukommt bei sowas.

ansonsten würde ich foren wie woodman/rohitab etc empfehlen,dort gibt es auch material dazu

Danke, jetzt kann hab ich wieder eine Zeit lang genug zu tun (:

die excellenten assembler Kenntnisse fehlen momentan noch, aber was nicht ist, kann noch werden (:

Ich weiß, dass ich ein großes Projekt starte, aber wenn es Spaß macht, ist es nicht anstrengend (:

Weißt du ein Buch zu diesen Thema eventuell auch noch?
Da in Büchern Themen meist besser erklärt werden (:

 

[whitepanda]

bücher kenne ich dazu keine,es gibt nur einige infos in foren, blogg einträgen und epapern.

unter

http://thelegendofrandom.com/blog/archives/2100

http://pferrie.host22.com/papers/antidebug.pdf

findest du die gängigen anti-debug tricks,die meisten davon werden allerdings leider auch von den gängigen plugins für ollydbg und ida bereits umgangen.

der hauptfcous moderner pe-protectoren liegt eindeutig auf code obfuscation durch vm, weil sich das eben nicht generisch durch irgendwelche plugins umgehen lässt,sondern im regelfall die einzelnen p-code handler von hand rekonstruiert werden müssen und dann die korrespondieren p-code parts innerhalb der code section in x86/x64 opcodes "zurückübersetzt" werden müssen, was sowohl zeitlich als auch nervlich ein ziemlicher aufwand ist...

 

[asdfman]

Habe so ein Ding ohne jegliche Assemblerkenntnisse geschrieben. Das einzige, bei dem ich ein ganz klein wenig brauchte, war der Debuggerärgercode, aber das war auch keine Raketenwissenschaft.

https://github.com/SirDzstic/cryptpe

Sämtlicher Assemblercode hier:

https://github.com/SirDzstic/cryptpe/blob/master/cryptpe/debfuq.asm

€: Nein, das Ding ist nicht undebugbar und habe auch den Anspruch nicht. War eine Spielerei und funktioniert. Mir reichte das.

 

[whitepanda]

das tool was du geschrieben hast emuliert nur teile des pe loaders um ein programm was vorher als rc4 encrypted byteheader eingebunden wurde auszuführen...mit einem pe protector hat das nicht viel zu tun.

wenn du eine solide lösung haben möchtest kommst du um die o.g. dinge nicht herum, der TE scheut ja aber auch scheinbar nicht vor zeitintensiven aufgaben zurück