هل توجد برامج rebuild pe x46

[bounacer]

السلام عليكم ورحمة الله وبركاته

احب أسألكم , عملت كثيرا على برامج 32بت وعملت ببرامج rebuild pe   وعمل DumpFull
واريد برامج تعمل نفس الشيء مثل برنامجين اعمل بهما هما : Pe Tools و LordPe rebuild
اريد اعمل DumpFull لبرنامج و ملف Dll اثناء تشغيل البرنامج على نظام 64 بت
وشكرا

[Gu-sung18]

وعليكم السلام
 حالياً اداة Scylla تعتبر الوريث الروحي لهذا النوع من الادوات خصوصاً LordPe، الاداة مفتوحة المصدر ويمكنها التعامل مع  x64 و x86 وتدعم أمكانية تطوير plugin لها، كما توجد نسخة معدلة تأتي بشكل افتراضي كـ plugin لمنقح x64dbg
 

 - x64 and x86 support
 - full unicode support (probably some russian or chinese will like this :-) )
 - ++written in C/C
 - plugin support
 - works great with Windows 7

السورس

https://github.com/NtQuery/Scylla

Plain text

تحديد الكل

للتحميل

https://github.com/NtQuery/Scylla/releases

Plain text

تحديد الكل

---------------------------------
توجد اداة اخرى يمكنها أيضاً التعامل مع ملفات 64 بت وهي CHimpREC من برمجة TiGa من فريق ARTeam 

Some of the features:

• The first universal 64-bit imports rebuilder
  
• 32-bit version included
  
• Interface similar to ImpREC
  
• Integrated 32/64-bit process dumper
  
• IAT AutoSearch from ImageBase or OEP
  
• Unshuffle thunks function
  
• Manual imports editor
  

Some limitations

• No plugin support yet
  
• No AutoTrace feature
  
• No disassembler
  

CHimpREC can be used to dump a packed executable in memory in order to gather the unpacked version.

ملاحظة: تحتاج الاداة الى The Visual Studio 2005 SP1 redistributable package  لكي تعمل

للتحميل

https://tuts4you.com/download/2283/

Plain text

تحديد الكل

[bounacer]

شكرا لك اخي الكريم Gu-sung18 . اعرف كل هاته الادوات
ولكن هاته الادوات ضروري تضع.  OEP  .
لكن انا اريد عمل Dumfull وليس dump
لان جداول ال IAT تكون فارغة.  اما انا اريد عمل Dumpfull ثم اصلحها بعد دلك. 
لاني اتحدث عن حماية شرسة winlicense اخر اصداراتها

[Gu-sung18]

ولكن هاته الادوات ضروري تضع.  OEP  .

اذا انت تريد ان تختار فقط اسم البرنامج او الـ pid خاصتة وتعمل "Full Dump" للبرنامج؟

لان جداول ال IAT تكون فارغة.  اما انا اريد عمل Dumpfull ثم اصلحها بعد دلك. 

هل تقصد انك ستقوم باصلاح الـIAT  بشكل يدوي وانك  تريد عمل dump للميموري كما هي؟

[bounacer]

نعم اخي  [b]Gu-sung18[/b]   أريد عمل Full Dump  مباشرة للبرنامج بعد تشغيله , لا اريد EOP او صلاح IAT  فقط عمل Full Dump

[Gu-sung18]

الاداة الوحيدة التي وجدتها والتي تحفظ بصيغة exe وحسب المواصفات التي طلبتها انت هي Process Dump (PD)

https://github.com/glmcdona/Process-Dump

Plain text

تحديد الكل

الاداة تستخدم بالدرجة الاولى لتحليل الـ malware لذلك ستفيدك في تحليل الحمايات العنيدة وهي تدعم بشكل كامل 32 و 64 كما يمكنها عمل dump لمناطق الذاكرة التي PE headers تبعها ممحي كوسيلة من وسائل الـ anti-dumping
وفي هذه الحالة الاداة  ستقوم بتوليد الـ PE headers  والـ import tables  بشكل ألي، الاداة تستخدم ميزة الفحص عن طريق الـ hash فهي تعمل فحص للنظام قبل تشغيل الـ malware وتعمل  قاعدة بيانات بكل الـهاشات للملفات التي في الذاكرة وتعتبرها على انها نظيفة ثم بعد تشغيل الـ malware  تقوم بعمل dump  لاي process جديد لا يملك هوية تعريف في قاعدة البيانات ويعتبر process غريب. (عيب هذه الطريقة بنظري انها تأخذ بعض الوقت ولكن يمكن تخطيها)
كا يمكنك عمل dump  لـ process محدد او لكل الـ processes في النظام، كذلك ايجاد الـ modules  المخفية وعمل dump لها وايجاد الاكواد الطليقة "loose code" في مناطق الذاكرة.

اهم الاوامر التي تحتاجها

pd64.exe -db genquick

Plain text

تحديد الكل

لتوليد قاعدة بيانات لجميع الـ processes

-----

pd64.exe -db gen

Plain text

تحديد الكل

لتوليد قاعدة بيانات لجميع الـ processes مع فحص مجلدات مثل "WINDIR"و  "%HOMEPATH%" و  "C:\Program Files\"  و "C:\Program Files (x86)\" وهذا الامر بطيء

------

pd64.exe -pid 499

Plain text

تحديد الكل

لعمل dump عن طريق   الـ pid

---------

pd64.exe -p .*chrome.*

Plain text

تحديد الكل

لعمل dump عن طريق اسم البرنامج

---------

     -ni

Plain text

تحديد الكل

في حال لم ترغب من الاداة اصلاح الـIAT

-------

-g

Plain text

تحديد الكل

 لاجبار الاداة على توليد PE header من الصفر وتجاهل الـ PE header  الحالي

-------

-nc

Plain text

تحديد الكل

لالغاء خيار ايجاد الاكواد الطليقة "loose code" في مناطق الذاكرة وعمل dump لها

---------

-db ignore

Plain text

تحديد الكل

لتجاهل قاعدة بيانات الهاشات (سيتم عمل dump لكل شيء حتى وان وجد له هوية تعريف في قاعدة البيانات)

--------
لتحميل الاداة

     http://www.split-code.com/files/pd_v2_1.zip

Plain text

تحديد الكل

الاداة تحتاج Microsoft Visual C++ Redistributable for Visual Studio 2015  لكي تعمل

https://www.microsoft.com/en-ca/download/details.aspx?id=48145

Plain text

تحديد الكل

موقع الاداة والكود المصدري + التعليمات

https://github.com/glmcdona/Process-Dump

Plain text

تحديد الكل

------
ul
واجهة الاداة

عمل Dump لجوجل كروم

كما تلاحظ هنا تم اعادة بناء او اصلاح الدوال المستوردة او Imports

--------------------

ملاحظة: توجد ادوات اخرى مثل task manager  (موجود بشكل افتراضي في ويندوز) و ProcDump يمكنها عمل Dump ببضعة ضغطات ولكن المشكلة ان الـDump سيكون بصيغة (DMP.)
الا في حال رغبت باستعمال WinDbg لتحليل ملفك