Вопрос Хотелось бы спросить как можно узнать ентрипоинт, не имея в дампе пе хедера

[peheader1337]

Сдампил чит, сам дамп без пе, начал писать маппер, аллоцировал память, пофиксил импорты, но теперь мне нужно найти ентрипоинт, но без пе, я не знаю как найти его

 

[es3n1n]

Приветик, ты можешь по сигнатуре CRT энтрипоинт найти, либо, если позволяет, то заинжектить чит с лоадера в ксго внутри которой бряк на GetSystemTimeAsFileTime стоит, потом по ретаддру найти точку входа.

upd: А вообще, методов так-то масса. Можешь в дефолт CRT дллке походить по энтрипоинту и посмотреть за что можно ухватиться.

 

[colby57]

Как вариант аттачнуться дебаггером в игру во время инжекта, включив галочку "Точка входа потока", как показал на скрине

2. Как сказал молодой человек сверху, бряк или хук на CRT-функции, которые вызываются в get_entropy (GetSystemTimeAsFileTime, GetCurrentThreadId, GetCurrentProcessId, QueryPerfomanceCounter) с выводом ReturnAddress, ну или хук на BaseThreadInitThunk - он равнозначен триггеру на точке входа потока, но тут надо еще учитывать сам метод вызова потока у инжектора

 

[peheader1337]

Спасибо, сейчас тестирую несколько ваших вариантов

 

[DragonAge]

@es3n1n привет мы можем как то достать dll с читом из раздела ESP и выпотрошить ему кишки и сделать свой чит? ), длл нихуя не проверяет кроме времени перед инжектом )

 

[es3n1n]

@es3n1n привет мы можем как то достать dll с читом из раздела ESP и выпотрошить ему кишки и сделать свой чит? ), длл нихуя не проверяет кроме времени перед инжектом )

Здравствуй, защита сильная конечно. Конкретнее бы

 

[peheader1337]

Как вариант аттачнуться дебаггером в игру во время инжекта, включив галочку "Точка входа потока", как показал на скрине

Посмотреть вложение 229679

2. Как сказал молодой человек сверху, бряк или хук на CRT-функции, которые вызываются в get_entropy (GetSystemTimeAsFileTime, GetCurrentThreadId, GetCurrentProcessId, QueryPerfomanceCounter) с выводом ReturnAddress, ну или хук на BaseThreadInitThunk - он равнозначен триггеру на точке входа потока, но тут надо еще учитывать сам метод вызова потока у инжектора

Способ молодого человека, под никнеймом - colby57, лично мне помог

 

[ZelkerSeller]

Как вариант найти EP по паттерну, в 32-разрядных длл он по идее не отличается, паттерн - "55 8B EC 83 7D 0C 01 75" их может быть несколько, смотри чуть ниже по GetSystemTimeAsFileTime и т.д, как писали люди выше.