Nytro @ DefCamp Prezentare

[co4ie]

Nytro prezinta @Defcamp 2013 Live streaming:

Transmisii live (distinct.ro)

Edited December 1, 2013 by co4ie

[rakims]

La ce ora e?

[Acidripp]

Acum urmeaza se pare, dupa pauza....

[Tiger9620]

Acum urmeaza se pare, dupa pauza....

Cine a fost cel care a prezentat inainte de pauza?

[rakims]

Are idee cineva cat dureaza pauza de cafea?

[H3xoR]

Cine a fost cel care a prezentat inainte de pauza?

Bogdan-Ioan ?uta

Are idee cineva cat dureaza pauza de cafea?

10-20 minute

[co4ie]

5 min... am anuntat din timp ca sa vedeti toti...

[alexu]

Foarte tare! Poate puneti si pe YT sau pe Vimeo, zilele urmatoare, la o calitate mai buna decat cea streaming, sa preluam si noi pe bloguri.

[Silviu]

Are emotii bre.

[nSnoopy]

Are emotii bre.

Si tu ai avea daca ai fi in locul lui )).

[eusimplu]

Ce vedeti acolo e un hacker perfect beat. Doua maini special construite pentru a hackerii. Acum sta in fata voastra si mananca SSL pe paine

[Acidripp]

-- applause --

[Maximus]

nice, felicitari, am prins ultimile 20 de min, sper sa puna cineva tot videoclipul pe net. bv nytro

[manxten]

bravo nytro!

[iulik]

alai tata !

[nedo]

pff ce am pierdut . Va rog sa puneti prezentarea pe undeva sa o pot vedea/descarca si eu .

[rakims]

Nu e full screen pt ca oricum era camera defocalizata si nu se intelegea mare lucru.

nytro.mp4

http://www9.zippyshare.com/v/93282998/file.html

http://www.filedropper.com/nytro

Edited November 30, 2013 by rakims

[LichValue]

Cine e speakerul care prezinta in momentul asta?

[StoNe-]

A anuntat Andrei in incheiere ca se vor publica slide-urile, inclusiv filmarile.

[N-W-A]

N-am apucat sa sta si la prezentarea ta, a fost prima noaptea prea grea pentru mine

[AlMalalah]

Are emotii bre.

Ma din imaginea asta pare sa fie om.

[compile]

@Nytro: interesanta prezentarea dar sunt curios de o chestie, atunci cand faci patch-ul API-ului(presupun ca e un far jump de 5 octeti) cum te asiguri ca pici exact intre instructiuni? majoritatea probabil incep cu "push ebp; mov ebp, esp"=5 octeti, dar exista posibilitatea sa inceapa cu altceva si sa spargi o instructiune.

[Nytro]

Cum se face "safe":

Microsoft WinAPI au acel "mov edi, edi" - 2 bytes care nu fac nimic si un singur ciclu de procesor special pentru asa ceva. Chiar daca era doar "push ebp, mov ebp, esp" tot nu era thread safe deoarece poate se executa prima instructine, apoi se punea hook si crapa. Doar WinAPI cu acel mov edi, edi permit sa fie sigur, se pune un jmp -5 (2 bytes, short jump, in loc de acel "mov edi, edi") si inainte de fiecare winapi sunt 5 NOP-uri in care se pune lejer un jmp.

Util: Why do Windows functions all begin with a pointless MOV EDI, EDI instruction? - The Old New Thing - Site Home - MSDN Blogs

A, am inteles intrebarea:

0. Cand pun hook-ul pastrez primii 5 bytes ai functiei intr-o variabila globala

1. Pun jmp indiferent de ce instructiune este si schimb astfel primii 5 bytes

2. In codul meu, la care se sare cu acel jump, fac "restore" la bytes originali

3. Schimb "return EIP-ul" de pe stack (ESP in momentul apelului)

4. Apelez functia originala si fac diverse lucruri normale

5. Return EIP-ul e modificat sa cada intr-o alta functie de-a mea, "reinsert_hook"

6. Acolo pun din nou hook-ul si ciclul continua

Edited December 4, 2013 by Nytro

[compile]

Uitasem de mov edi,edi. push ebp, mov ebp, esp sunt doar 3 octeti.

Interesanta chestia cu un patch pe alea 5 NOP-uri si un jmp in spate nu stiam ca e facuta intentionat si ca cel putin la dll-urile din Windows poti sa te bazezi pe ea.

Daca faci restore la cei 5 octeti la fiecare apelare atunci metoda nu pare a fi thread safe.

Eu fac altfel ca sa nu trebuiasca sa mut mereu instructiunile sau sa ma joc direct cu stack-ul:

1. iau primii 5* octeti din API de la adresa XXXX si ii pun la adresa YYYY. In locul lor pun un jump catre functia mea de hook(cum faci si tu la 0. si 1.)

2. dupa cei 5 octeti, la YYYY+5, pun un jump catre restul API-ului la adresa XXXX+5

3. cand se apeleaza API-ul face jump catre functia mea care isi face treaba cu parametrii apoi apeleaza YYYY ca pe API-ul initial.

4. cand apeleaza YYYY se executa primii 5 octeti apoi se sare la restul API-ului la XXXX+5.

5. pentru ca YYYY e apelata de catre functia de hook atunci returneaza tot in functia de hook asa ca apelantului initial pot sa-i returnez orice valoare.

Problema ambelor metode este ca la unele API-uri si la DLL-uri de la alti vendori o functie nu incepe intotdeauna cu cele trei instructiuni de 5 octeti, adica poate fi una de 2 apoi una de 4 sau de 5 sau orice alta combinatie insumand mai mult de 5 creand probleme cand iei fix 5 octeti pentru ca spargi o instructiune in doua si nu o sa se execute corect. Asta intrebam de fapt, daca ai gasit o alta solutie sa tratezi situatiile astea.

Solutia mea e un mic dissassembler care imi da dimensiunea instructiunilor ca sa nu le sparg deci 5* de mai sus poate varia intre 1 si 15.

[UnUser]

Daca tot suntem la sectiunea off-topic:

Parca vorbiti in greaca veche !

PS: Daca comentariul deranjeaza, rog delete.