Discussion :

[[ZiP]]

Bonjour,

Je suis actuellement en train de développer un plugin pour OllyDbg et je rencontre un problème avec le code suivant :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
 
lpflOldProtect : Pointer;
hMem : Boolean;
sCode : PChar;
bRead : ULONG;
 
lpflOldProtect := nil;
VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, PAGE_EXECUTE_READWRITE, lpflOldProtect);
hMem := ReadProcessMemory(gDebugHandleProcess, Pointer(gDebugCodeStart), @sCode, gDebugCodeSize, bRead);
VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, Cardinal(lpflOldProtect), lpflOldProtect);

Le code est compilé, mais ma variable sCode reste désespérément vide...

Peut-être que j'utilise mal les API ?

Merci,
ZiP

[Cl@udius]

Salut Zip

Toujours le même piège: PChar ou PAnsiChar ?

@+

[[ZiP]]

Bonjour Cl@udius,

Je ne pense pas car cette fois-ci, je n'ai pas des "??[...]" d'affichés mais rien du tout :

sCode =

Je viens tout de même d'effectuer les corrections suivantes :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
sCode : PAnsiChar;

Le résultat reste identique

Merci pour votre aide,
ZiP

[gb_68]

Bonjour,

Peut-être que j'utilise mal les API ?

il semblerait que oui

lpflOldProtect [out]

A pointer to a variable that receives the previous access protection of the first page in the specified region of pages. If this parameter is NULL or does not point to a valid variable, the function fails.

http://msdn.microsoft.com/en-us/libr...8VS.85%29.aspx

Il te faut une variable OldProtect de type DWORD que tu passes par pointeur (@OldProtect, ce qui revient à faire, manuellement, un passage par référence). Pense aussi à vérifier la valeur de retour de la fonction VirtualProtectEx ; cela t'indiquera si ton appel a réussi ou pas.

[[ZiP]]

Bonjour gb_68,

J'ai modifié mon code comme vous me l'avez expliqué :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
 
lpflOldProtect : DWORD;
hMem : Boolean;
sCode : PAnsiChar;
bRead : ULONG;
 
hMem := VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, PAGE_EXECUTE_READWRITE, @lpflOldProtect);
if hMem then Log('VirtualProtectEx => OK !');
hMem := ReadProcessMemory(gDebugHandleProcess, Pointer(gDebugCodeStart), Pointer(sCode), gDebugCodeSize, bRead);
if hMem then Log('ReadProcessMemory => OK !');
hMem := VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, lpflOldProtect, @lpflOldProtect);
if hMem then Log('VirtualProtectEx => OK !');

Les deux appels à VirtualProtectEx fonctionnent, par contre, ReadProcessMemory ne fonctionne pas !

Merci pour votre aide,
ZiP

[ShaiLeTroll]

Il y a un truc qui manque ! non ?
Comme définir la zone mémoire de réception ! Ou tu l'as fait ailleurs ?!

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
GetMem(sCode, gDebugCodeSize);
hMem := ReadProcessMemory(gDebugHandleProcess, Pointer(gDebugCodeStart), Pointer(sCode), gDebugCodeSize, bRead);
if hMem then Log('ReadProcessMemory => OK !');
FreeMem(sCode);

En cas d'erreur, utilise GetLastError, cela te fourni un code d'erreur supplémentaire !
Puis SysErrorMessage (encapsulation de FormatMessage), te fourniras un message d'erreur normalement compréhensible !

[[ZiP]]

Bonjour ShaiLeTroll,

Effectivement, je n'ai pas définit la zone mémoire de réception !

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
 
lpflOldProtect : DWORD;
hMem : Boolean;
sCode : PAnsiChar;
bRead : Cardinal;
 
hMem := VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, PAGE_EXECUTE_READWRITE, @lpflOldProtect);
if hMem then Log('VirtualProtectEx => OK !');
GetMem(sCode, gDebugCodeSize);
hMem := ReadProcessMemory(gDebugHandleProcess, Pointer(gDebugCodeStart), Pointer(sCode), gDebugCodeSize, bRead);
if hMem then Log('ReadProcessMemory => OK !');
hMem := VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, lpflOldProtect, @lpflOldProtect);
if hMem then Log('VirtualProtectEx => OK !');

Avec ce code, je récupère des données, il faut que je vérifie si celles-ci sont correctes !

Merci,
ZiP

[[ZiP]]

Bonjour,

J'ai modifié mon code comme ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
 
     hMem := VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, PAGE_EXECUTE_READWRITE, @lpflOldProtect);
     if hMem then Log('VirtualProtectEx => OK !');
     GetMem(sCode, gDebugCodeSize);
     hMem := ReadProcessMemory(gDebugHandleProcess, Pointer(gDebugCodeStart), Pointer(sCode), gDebugCodeSize, bRead);
     if hMem then Log('ReadProcessMemory => OK !');
     hMem := VirtualProtectEx(gDebugHandleProcess, Pointer(gDebugCodeStart), gDebugCodeSize, lpflOldProtect, @lpflOldProtect);
     if hMem then Log('VirtualProtectEx => OK !');
 
     if Debug then
     begin
          Log('Length(sCode) = ' + IntToStr(Length(sCode)));
          for i:=0 to Length(sCode) do
          begin
               Log('sCode = 0x' + IntToHex(Ord(sCode[i]), 2));
          end;
     end;

Il m'affiche ça :

DEBUG --> gDebugCodeStart = 00401000
DEBUG --> gDebugCodeSize = 0004F800
DEBUG --> VirtualProtectEx => OK !
DEBUG --> ReadProcessMemory => OK !
DEBUG --> VirtualProtectEx => OK !
DEBUG --> Length(sCode) = 3
DEBUG --> sCode = 0x04
DEBUG --> sCode = 0x10
DEBUG --> sCode = 0x40
DEBUG --> sCode = 0x00

Savez-vous pourquoi il ne récupère que 3 caractères ?

Merci,
ZiP