УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

		Форум АНТИЧАТ > Программирование_OLD > С/С++, C#, Delphi, .NET, Asm
Маленькая заметка про обход Outpost

Страница 2 из 2

Опции темы

Поиск в этой теме

Опции просмотра

#11

31.10.2007, 00:40

gevara

Познающий

Регистрация: 30.11.2006

Сообщений: 49

Провел на форуме:
36434

Репутация: 28

Слушай, а откуда такие познания? ты случаем не какер?

Если не в лом - посмотри в ольке. на ZwCreateThread CreateRemouteThread WriteProcessMemory и т.д. апишках стоит сплайсинг. я конечн не настолько крут как ты.. я к этому стремлюсь.. но какая-то бональная эрудиция подсказывает мне что аутпост не ради развлечения ставит сплайсинг в этих апишках.

Код:

ZwCreateThread:
jmp   wl_hhok.1004C714
mov  edx,7FFE0300
call   edx
retn 20

Последний раз редактировалось gevara; 31.10.2007 в 01:23..

#12

01.11.2007, 02:39

~~KEZ~~

Banned

Регистрация: 18.05.2005

Сообщений: 1,981

Провел на форуме:
1941233

Репутация: 2726

Цитата:

я конечн не настолько крут как ты.. я к этому стремлюсь.. но какая-то бональная эрудиция подсказывает мне что аутпост не ради развлечения ставит сплайсинг в этих апишках.

Точно, ты не настолько крут как я, иначе бы посмотрел сст (с системы, где стоит Outpost 4.0.971.7030 (584))

, увидел бы в ней все эти ядерные хуки, покраснел бы и перестал писать в этот топик.
Поэтому свою бональную эрудицию ты имхо развиваешь не в том направлении
а что бы ты не продолжил этот разговор, сказав что SandBox.sys - не аутпоста вовсе, выкладываю:

(в ранних версиях хуки идут прямо в filtnt.sys

ну а что бы ты не сказал, что на том месте, где ничего не написано на скриншоте, идет не NtWriteVirtualMemory, вот тебе тот же скриншот, снятый с системе без аутпоста

Но, конечно, ты скажешь что у меня мол, новая версия, а у тебя старая. Я могу специально поставить на виртуалку любой старый аутпост, в котором хотя бы есть вообще контроль виртуальной памяти процессов и снять тебе такие же скриншоты,

UPD:
ну и конечно твой замечательный пост на ту же тему
http://forum.antichat.ru/showthread.php?p=338299#post338299

Цитата:

Сообщение от gevara

Полный бред. аутпост СДТ не перехватывает. это может быть либо КАВ либо ещё что-то... Я даже прогу писал - убивает аутпост через инжект в него, затем ZwTerminateProcess(-1,0); Драйвер аутпосту нужен лишь для перехвата устройств \Tcp \Ip \Udp \RawIp. Хук на инжект ставится в третьем кольце. По крайней мерии, я тестировал на версии третьей и четвёртой версиях.

Последний раз редактировалось KEZ; 01.11.2007 в 17:13..

#13

20.11.2007, 02:55

podkashey

Познавший АНТИЧАТ

Регистрация: 18.06.2005

Сообщений: 1,004

Провел на форуме:
2821162

Репутация: 1320

Кез, ты победил в споре-то в итоге или нет? А то че-то оппоненты разошлись, а я хочу еще умных слов почитать всяких, чтобы потом понтаваться ими перед девчонками.