Этот маленький плагин я написал сам. Я коротко расскажу следующие 4 операции (но действующая версия имеет намного больше функций):
- p: ищет pop/pop/ret комбинации (полезен при написании эксплойтов основанных на SEH) Автоматически фильтрует модули защищенные safeseh. Так что получаемые вами адреса не защищены safeseh. Более того, автоматически проверяются комбинации и просматриваются все загруженные модули (т. е. вам не нужно выделять регистр или модуль. Если вы выделите регистр, то будут показаны только комбинации, где этот регистр используется. Если вы выделите и регистр и имя модуля, то вы, конечно, получите все комбинации. где используется регистр только в указанном модуле (только, если модуль защищен safeseh!)
- j: ищет все jmp/call/push ret комбинации (полезен, при перезаписывании напрямую эксплойта с помощью ret). Вы должны установить переходный регистр и указать произвольное имя модуля
- jseh: эта оперция используется при обходе защиты safeseh. (смотри 6 часть урока). Опять же, эта операция ищет все комбинации автоматически
- nosafeseh: показывает все модули загруженные в настоящий момент, не защищенные safeseh
Download/more info