Петър Николов

.Net Reflector

Безценно...

Това http://www.zezula.net/en/prog/lpc.html е статията която чаках от няколко години.

LPC (Local Procedure Call) е начин за IPC под Windows който обаче не е много добре документиран в MSDN, но се използва масово за комуникация от системните файлове на Windows.

Това отваря нови врати в изследването на Windows поне за мен.

AutoHotkey е популярна програмка за скриптиране на някакви дейности. След време се е появил и компилатор AHK2EXE за скриптове с чиято помощ вече скриптовете стават невидими.

Налице е и програмка EXE2AHK с чиято помощ може да се обърне процеса на обратно и от вече компилиран код да се обърне към оригиналния скрипт. Проблема е че програмата може да е закодирана с код - и тогава процеса е необратим.

Дали?

Стартираме любимото WinDBG, зареждаме вече компилирана програма и пишем магическите кодове:

bp GetCurrentDirectoryA
g 446b0f
.writemem c:\script poi(ebp+68) Ledx

И в c:\script се появява оригиналния скрипт - гол голеничък.

Успех