Little break…

Sorry, this entry is only available in Français.

Hidding Module from the Virtual Address Descriptor Tree

Hi =)
Recently I read a post of Ivanlef0u : LdrpHashTable where he was showing how to hide a Dll from this table. So by reading this post we can say that we know 4 techniques to hide a Dll :

  1. Unlink from InLoadOrderModuleList.
  2. Unlink from InMemoryOrderModuleList.
  3. Unlink from InInitializationOrderModuleList.
  4. Unlink from LdrpHashTable.

Well my purpose is to show you a new one. This technique is based on the Virtual Address Descriptors. So let’s take a look to the functioning of these descriptors management.
Read more

Fuzzing PHP : PHP6 str_transliterate() (Unicode) Buffer Overflow vulnerability

Hello All =)

A long time ago, I released  a paper about PHP fuzzing. But my fuzzer was a bit ill-coded and unstable.  You can find here my article : Fuzzing PHP

Today I’m presenting you a new approach of PHP Fuzzing, and I offer you my new fuzzer. The purpose of this fuzzer is to find buffer overflow vulnerabilities in PHP functions. Taking in account that when a buffer overflow occurs, an exception “Access Violation” is raised because of EIP equal to 0×41414141 for example, I had the idea to debug php.exe in order to catch exceptions. And then, if the exception is an “Access violation” I can say I found a vulnerability.
Read more

[ARCHIVE] PHP Fuzzing

I offer you a paper about PHP Fuzzing and PHP buffer overflows exploitation : PHP_BOF.pdf

Note : This article has been published with an other one under the name of Union Make Force.

EIP = 0×00410041 ?? Exploiting Unicode Buffer Overflows

Hello all =)

I’m writing this post in English (a poor English) because perhaps I will do some references to this article on others sites. But you can download the French version here : Unicode Buffer Overflows Exploitation – French Version.pdf

Introduction :

Maybe you’ve already encountered few problems when trying to exploit a buffer overflow, EIP = 0×00410041 for example while you have entered a string like this one : “AAAA…”. Maybe you don’t, but I think very interesting to understand when can we be confronted to this case and what it is due to.

Read more

HZV MAG #3 is out !

Salut tout le monde,

juste un petit post pour vous informer, si vous ne le savez pas déjà, que le numéro 3 du mag hzv est sorti. J’y ai apporté ma contribution avec un article portant sur la protection SeHOP (Structured Exception Handler Overwrite Prevention). C’est cet article qui a abouti à ma propre implémentation de cette protetion la que j’avais publié avec cet article : Merry X-Mas =) / Implementing SEHOP

Cependant mon travail ne s’est pas arrêté là. J’ai continuais en analysant certains logiciels comme Wehntrust et EMET qui proposent une mise en place du SeHOP ainsi qu’une analyse de Windows Seven pour essayer de voir comment le nouveau OS traite le sujet. J’ai fini par comparer les trois et voici ce que cela donne :
Comparatif des implémentations de SeHOP

Je vous encourage donc à aller lire mon article en espérant qu’il vous plaise ainsi que les autres articles proposés :
Read more

API Hooking : Hot Patching

Il y a peu j’écrivais un article dans lequel j’expliquais très brièvement le principe du Hot Patching et en ayant voulu aller trop vite je me suis trompé quant à certains aspects de cette technique. Alors je reprend tout cela et vous propose un article très bref pour vous expliquer le principe.

L’API Hooking consiste à injecter une dll dans un processus qui va modifier quelque peu celui-ci pour rediriger une fonction ou API ciblée vers une fonction contenue dans la dll elle même.En ce qui concerne l’injection de Dll je vous renvois à un article que j’avais sur mon ancien blog ainsi qu’à un article de JoE fort intéressant qui présente plusieurs méthodes :  Injection de Dll dans un processus & Inject your DLL.

Il existe différente techniques pour hooker une API à savoir le Hot patching, l’Inline hooking et l’IAT patching. Aujourd’hui je ne vous parlerez que de la première technique mais je ne tarderai pas à vous présenter les deux autres.

Read more

[ARCHIVE] Injection de Dll dans un processus

Aujourd’hui je vais vous présenter une méthode plutôt connue pour injecter une dll dans un processus. Pour cela on va d’abord faire un loader qui s’occupera de charger notre dll dans un processus puis on construira ensuite celle-ci.
Pour le loaders on distingue 5 étapes :

1.Récupérer l’adresse de LoadLibraryA()
Pour récupérer l’adresse de LoadLibraryA() il suffit d’utiliser la fonction GetModuleHandleA(). Le prototype de la fonction :

HMODULE WINAPI GetModuleHandle(
__in_opt  LPCTSTR lpModuleName
);

Read more

Happy New Year / Lilxam’s PE Library : LPEL V1.0

Happy new year all =)

Pour bien entamer cette nouvelle année je vous fais part d’une librairie que j’ai codé en parallèle avec mon packer concernant le format PE. En fait je fais l’annonce de la partie II de mon tutoriel pour créer son propre compresseur d’exécutable. Cette librairie vous l’aurais compris permet de manipuler les headers, les sections, les directories (l’Import Table notamment), etc… Pour l’instant rien de vraiment extraordinaire, mais j’espère la développer au cours du temps.

Read more

Merry X-Mas =) / Implementing SEHOP

Tout d’abord joyeux noël à tous =)

je ne poste pas beaucoup en ce moment alors je me suis vu obligé de vous faire un petit cadeau de noël.

Lilxam's SEHOP

Démo SEHOP

Read more