удобство в мелочах

PeVerify обновлен до версии 0.41

2012-02-21T09:00:00.016+07:00

и доступен по ссылке

добавлена проверка валидности ресурсов под win 9x (не знаю что там еще можно проверить)

версия 8.22

2012-02-17T08:35:00.000+07:00

- FIX(8.20): потеряна раскраска TRx в цвет регистра
- FIX: bswap и prefix 66
- добавлены некоторые недокуменированные fp-опкоды (fstp1,fcom2,fcomp3,...)
- если при старте не найден файл из sav-file, но в текущем каталоге существует такой же можно использовать его

рассылка завершена, смотрите в почтовых ящиках

я не знал этого: Tab переключает между открытыми файлами

2012-02-13T09:00:00.002+07:00

меня удивило что оказывается, про это не все знают и запускают две копии hiew, а потом жалуются на невозможность переносить блоки из одного окна в другое

я не знал этого: alt-s

2012-01-31T09:00:00.007+07:00

копирует байты под курсором в строку поиска (F7), полезно когда лениво вбивать байты чтобы найти их в этом же или другом файле

я не знал этого: forwarded export mark

2012-01-23T09:00:00.000+07:00

в списке экспортируемых имен PE файлов (F8-F9) символ = после ординала указывает на то что имя переадресовано в другой модуль (т.н. forwarded export)

к корпоративным пользователям

2012-01-18T09:00:00.001+07:00

если правила компании позволяют выдать свой e-mail - сообщите его мне вместе с текущим адресом(номером) лицензии, буду отправлять версии напрямую, это как минимум быстрее чем специальный человек не потеряет ее в спаме и вспомнит что для кого предназначается.

опрос. итого.

2012-01-16T09:00:00.021+07:00

добавить интерфейс дизассемблера в hem api ?

до сих пор обходился без этого и дальше обойдусь 3 (14%)
это было бы полезно 9 (42%)
почему до сих пор еще не сделано 8 (38%)
после добавления даже куплю single version 1 (4%)

количество проголосовавших : 21

сегодня день Великого бэкапа

2011-12-30T09:00:00.003+07:00

я не знал этого: показать смещения ресурсов

2011-12-27T09:00:00.000+07:00

tab в списке ресурсов (F8-F12) переключает отображение смещений ресурсов

обращаю внимание

2011-12-24T12:00:00.007+07:00

цена на годовую подписку для частных лиц снижена до 1399р, пора покупать

UPD: эта была рожденственская скидка, но действует до конца января

я не знал этого: отметить конкретный ресурс как блок

2011-12-23T09:00:00.000+07:00

в списке ресурсов (F8-F12) на нужной строчке нажать *

я не знал этого: переход на начало конкретного ресурса

2011-12-21T09:00:00.002+07:00

в списке ресурсов (F8-F12) на нужной строчке нажать enter

советы читателей: hiew under wine(Ubuntu 10.10)

2011-12-18T10:00:00.001+07:00

(Ivan Gorinov)

Использую команду такого вида: wineconsole --backend=user ~/hiew/hiew32.exe
Z:/boot/vmlinuz-2.6.35-31-generic
Настройки консоли Wine: Font "Andale Mono", Size=22.

Единственное "неудобство в мелочах": если указанное в командной строке имя файла начинается с "/", этот первый символ приходится заменять на "\\" или "Z:/".

Нашел, почему не разбирался hiew8.ini - при копировании WinSCP заменяет в текстовых файлах CR/LF на LF. Заменил обратно, все OK.

simd префиксы, непорядковый порядок

2011-12-15T09:00:00.000+07:00

у меня исторически порядок SIMD-префиксов в таблицах: 66 - F2 - F3, у интела: 66 - F3 - F2, до внезапного появления VEX.PP никто никого не беспокоил, а теперь надо делать либо правильно и муторно (переставлять строчки во всех табличках) либо быстро и потенциально глючно (добавить функцию туда-сюда трансляции индексов для F2/F3)

версия 8.21

2011-12-09T08:31:00.000+07:00

- показ списка PE ресурсов (F8-F12)
- hiew8.ini сначала ищется в текущем каталоге
- FIX: немного исправлений в (диз)ассемблере
- FIX: некоторые искуственно сделанные PE
- FIX: игнорируется goto -1

и куда четвертый операнд

2011-12-07T09:00:00.000+07:00

а у меня так красиво 3 операнда в 32 битах кодировались, по 11 бит на операнд,
и опять легкое решение сделать qword для описания операндов не наш случай

ни в какие таблицы

2011-12-01T09:00:00.001+07:00

команды avx имеют те же байты опкода что и sse, но в мнемонику подставили букву V (что провоцирует на всякие глупые трюки) и изменили операнды, вкупе с нехваткой битиков для флагов это сводит на нет возможность положить новые опкоды в старые таблицы.

до 2 декабря принимаются заявки на досрочную рассылку версии 8.21

2011-11-28T09:00:00.002+07:00

адрес и тема письма для робота - теже

спрашивали - отвечаю: тип лицензии

2011-11-23T09:00:00.006+07:00

никак не влияет на срок работоспособности самого exe, работоспособность в любом случае вечная, никаких проверок даты и окошек 'больше не работаю, срок лицензии истек' нет.

Тип лицензии влияет только на наличие и продолжительность бесплатных обновлений, ну и еще на скидки.

добавить новые флаги для AVX, а некуда

2011-11-18T09:00:00.012+07:00

в таблицах дизассемблера не хватает места для всяких новых битиков, напр. VEX.L игнорируется, или W может быть только в 1.

самый простой вариант - увеличить битики до 64 не рассматривается, это не наш путь.

второй монитор наверх

2011-11-13T09:00:00.006+07:00

Для меня удобнее всего если второй монитор расположен сверху основного. Смотрел много кронштейнов для монитора чтобы крепился к краю стола и центр крепления VESA был на высоте 600мм и на растоянии от края стола 500мм, нашел только один, теоретически подходящий - Buro BU-111-9B (или -9S).

Только даже в тех интернет-магазинах где есть цена и написано 'в наличии' при попытке купить наличие исчезает или превращается 'под заказ'. Какой 'под заказ' если кронштейн уже 2 года не производится и производиться больше не будет (ответ самого производителя).

Может быть в чьем-то городе в каком-то магазине пылится последний непроданный экземпляр ? Покупку-пересылку естественно оплачиваю.

просто красивая дата, не смог пройти мимо

2011-11-11T11:11:00.003+07:00

avx2 - твори, выдумывай, пробуй

2011-11-08T09:00:00.000+07:00

а для AVX2 выдумали VSIB с какими-то регистрами VR0-VR15, ужос, просто ужос

я не знал этого: многофайловый поиск кода

2011-11-02T09:00:00.002+07:00

возможность очевидная, но мало кто знает/пользуется

по файлам командной строки также работает и поиск кода, включая многострочный

я не знал этого: многофайловый поиск

2011-10-27T09:00:00.001+07:00

в поиске (F7) клавиша F4 переключает не только поиск по всему файлу (File) либо по блоку (Block) но и по файлам командной строки (Arg), если конечно таковые были заданы

я не знал этого: много файлов в командной строке

2011-10-22T09:00:00.000+07:00

в командной строке можно задавать список файлов используя маску

напр.: hiew32 /s *.exe *.dll - все .exe и .dll в текущем каталоге и подкаталогах

список файлов можно посмотреть по Ctrl-F9,
Ctrl-F11 - предыдущий файл из списка, Ctrl-F12 - следующий

я не знал этого: многострочный поиск кода с маской

2011-10-18T09:00:00.003+07:00

можно искать несколько команд, разделяя их символом /

avx & C5 opcode

2011-10-14T09:00:00.003+07:00

понимаю откуда в AVX появился инверт битов опкода (мой горрряяячий привет тому кто эту хренотень придумал), но не понимаю зачем делать еще и короткую (2байта) форму VEX, паровозов типа 66 0F 38 XX больше не будет ? ну и оставили бы С5 для следующих расширений, пригодился бы ведь наверняка

А какая прелесть два монитора

2011-10-09T09:00:00.001+07:00

я не знал этого: изменение размера выделенного блока

2011-10-03T09:00:00.002+07:00

Alt-* делает текущее смещение либо началом уже выделеного блока либо окончанием, в зависимости от того куда ближе

я не знал этого: WhereComesFrom's key F11

2011-09-28T09:00:00.000+07:00

F11 в WhereComesFrom.hem переходит на позицию предыдущего вызова

Дайте примеры необычных PE ресурсов

2011-09-23T09:00:00.003+07:00

Опять спросили когда PeVerify будет проверять ресурсы.
А я не знаю что там можно проверять, кроме того что под win9x номер не может быть больше 32767
Если есть у кого-нибудь примеры необычных построений ресурсов - присылайте

Жив, курилка ! или история одного почти отката исправления.

2011-09-20T09:00:00.000+07:00

В версии 8.14 вывод на экран был сделан через юниковскую функцию (победа над исчезновением символа 0D в некоторых фонтах), под win9x проверять не стал ибо уже раритет.
Раздал 8.14 и буквально сразу пришло письмо что новая версия не грузиться, т.е. вообще, т.е. черный экран при загрузке и дальше никак, версию windows не указали, и пока не пришло второе подобное сообщение от другого пользователя с указанием того что это происходит под win9x причины не понимал.
Оказывается, некоторые исследователи еще используют сей раритет, который ну очень лимитировано поддерживает юникодовские функции.
Поэтому в версии 8.15 пришлось сделать две ветки вывода на экран.

Вот что скрывается под строчкой: FIX(8.14) юникодовские функции используются только для winnt

версия 8.15 - рассылка завершена

2011-09-16T07:42:00.001+07:00

- FIX(8.14) юникодовские функции используются только для winnt
- FIX: немного исправлений в 64bit дизассемблере
- FIX: случайный креш на Ctrl-F7 в Crypto
- FIX: потеряны import name для PE с базой выше 0x7FFFFFFF
- ini-file: "wow64Disable = On/Off"

в связи с предыдущим сообщением и текущей рассылкой

2011-09-14T08:17:00.001+07:00

если Ваш почтовый ящик на @mail.ru либо @inbox.ru сообщите альтернативный адрес через eugenys@gmail.com

Update 16.09: конечно же, никто ничего не прислал.
Если до следующей рассылки ситуация с @mail/inbox не изменится, Undelivered Mail от них автоматически выставит битик 'Mail Error' и блокируюет рассылку.

запасной e-mail

2011-09-11T16:02:00.000+07:00

больше месяца @mail.ru не принимает (как оказалось и не отправляет) письма от @kemtel.ru (на этом же почтовом серевере еще много кого) и при этом не отвечает на письма местных (ростелекомовских) администраторов.

запасной e-mail: eugenys@gmail.com

я не знал этого: показ битовых флажков

2011-09-09T09:00:00.011+07:00

F8 - F2 для флагов заголовка,
F8 - F6 - F2 для флагов секции,
с версии 8.xx отображаются только выставленные флаги

зачем анонс готовности версии

2011-09-05T09:00:00.007+07:00

в том числе и затем чтобы о новой версии знали планирующие покупку single,
у них обновлений нет, а купить предыдущую версию за день-два до появления новой немного обидно.

версия 8.15 готова к рассылке

2011-09-02T09:00:00.003+07:00

те кто в первых рядах тему письма знают, дата - по 5 сентября включительно

Второй сезон.

2011-09-01T08:29:00.000+07:00

Да-да, лето закончилось, пора за клавиатуру.

В новом сезоне не будет ежемесячных опросов, поскольку количество отвечающих мало, а количество интересующихся результатами в разы выше.

март: голосовало - 23, смотрели тему - 170
апрель: 26 к 288
май: 19 к 200

Лето. Надо меньше пялиться в монитор, блог уходит на каникулы до осени.

2011-06-02T00:01:00.005+07:00

опрос мая: итого

2011-06-01T08:32:00.001+07:00

использование ассемблера

никогда не пользуюсь 2 (10%)
использую только в crypt 2 (10%)
использую весьма ограниченный набор,
не более десятка самых распространенных команд 9 (47%)
использую достаточное количество общих команд 3 (15%)
использую и общие команды и команды для плавающей точки 1 (5%)
использую большой набор из всего что есть включая sse 2 (10%)

количество проголосовавших: 19

И все-таки Google делает правильный backup

2011-05-30T09:00:00.002+07:00

Правильность подтверждает позднее но все-таки восстановление потерянных комментариев за сутки к сообщению версия 8.14 планируется к рассылке на следующей неделе

читать итоги это не мышкой в кружочек тыкать

2011-05-26T08:28:00.000+07:00

которую неделю самое популярное это итоги предыдущих голосований

опрос апреля: проголосовавших: 26, просмотров: 94
опрос марта: проголосовавших: 23, просмотров: 88

опрос мая: - количество проголосовавших на текущий момент: 16

я не знал этого: code highlight

2011-05-25T09:00:00.001+07:00

если в режиме кода надо выделить часть команды (например стековую переменную [ebp][8]) используйте Alt-L

я не знал этого: двойная линия как показатель delay import

2011-05-20T09:00:00.000+07:00

в окне которое показывает импортируемые функции (режим кода, F8 - F7) двойная линия указывает на то что это delay import

забавная голосовалка у гугла

2011-05-17T08:49:00.000+07:00

вчера было 12 проголосовавших в опросе, сейчас 7

я не знал этого: 8.14 может отключать редирект %windir%\System32 под Windows 64bits

2011-05-15T13:36:00.000+07:00

В 64битных системах для 32битных приложений %windir%\System32 редиректится системой в SysWOW64 (статья из MSDN, англ.), из-за чего hiew не видит никак 64битных DLL в %windir%\System32.

Если все-таки требуется видеть и открывать 64битные DLL из %windir%\System32 то в ini-файле пропишите строку: wow64Disable = On

Все последствия такого шага ложатся на Вас.

ну ни на кого нельзя положиться

2011-05-14T09:44:00.002+07:00

новость о выходе 8.14 должна была быть еще вчера, но google не пускал ничего писать в блог

added(15 May): а еще этот (вписатьэпитетповкусуиспорченности) google потерял последние комментарии и не торопится их восстанавливать, а я его еще в пример правильности бэкапов ставил.

проверяем почтовые ящики, рассылка версии 8.14 завершена

2011-05-14T09:42:00.002+07:00

- FIX: символ 0x0D пропадал для Consolas font
- FIX: некоторые случаи PE overlay
- FIX: мусор в PE заголовке меньше номинального размера
- FIX: 64bits: r9d-r15d base/index регистры не отображались
- FIX: команда crypt xchg опять корректно работает
- FIX: буквы ё,Ё не разрывают unicode-строку в Alt-F6
- ini-file: "PackInt3 = On/Off"

версия 8.14 планируется к рассылке на следующей неделе

2011-05-06T08:29:00.000+07:00

Как обычно, зарегистрированные пользователи, у которых срок обновлений не истек и желающие получить ее первыми - пишите на sen@kemtel.ru с темой 'get first hiew 8.14' до вторника. Любые другие темы в заголовке будут игнорированы для включения в first-list.

я не знал этого: Shift-Esc в диалогах Yes or No

2011-05-04T09:00:00.007+07:00

используется как Yes, а простой Esc - как No

опрос апреля: итого

2011-05-01T11:21:00.000+07:00

Первая версия hiew была написана 20 лет назад.
А сколько лет Вы пользуетесь hiew ?

менее года 4 (15%)
1-3 года 0 (0%)
4-5 лет 5 (19%)
6-10 лет 4 (15%)
11-15 лет 7 (26%)
более 15 лет 6 (23%)
все 20 лет и пользуюсь 0 (0%)

Количество проголосовавших: 26

знаете ли Вы что backup надо восстановить обратно хоть изредка для уверенности что он рабочий

2011-04-28T09:00:00.001+07:00

я не знал этого: отображение количества байтов опкода

2011-04-23T09:00:00.002+07:00

меняется через Ctrl-Left / Ctrl-Right
и может задаваться в ini-файле в строке OpcodeShowBytes = 15

я не знал этого: переключение между режимами отображения

2011-04-18T09:00:00.004+07:00

Text-Hex-Code быстро делается через клавишу Enter, а точно в нужный режим можно попасть через меню F4, причем F4-F4 то же что и Enter.

самая древняя версия hiew

2011-04-13T08:41:00.000+07:00

которая есть в моих архивах - 2.51,
имя - hv.exe, дата exe - 6 декабря 1991, размер - 21446 байта
может у кого есть еще древнее ?

20 лет назад

2011-04-11T11:04:00.003+07:00

Про то что точной даты первой версии hiew не сохранилось это я поторопился. Надо было посмотреть в сопроводительный файл древней версии, итак:

Первая публичная версия hiew появилась 11 апреля 1991 года и имела версию 1.1

я не знал этого: goto via rva

2011-04-08T09:00:00.000+07:00

В файлах PE можно переходить (F5) как по VA адресам (+imagebase, .401234), так и по RVA (.1234)

Hiew через PyHiew теперь может смотреть и редактировать память процесса

2011-04-03T10:50:00.001+07:00

Elias продолжает наращивать мощь своего плагина PyHiew и расширять функциональность Hiew. Теперь есть скрипт fsPlus позволяющий Hiew работать с памятью процесса.

Подробности - в блоге Elias, обновления - там же, либо на странице Hem

(non-russian) 20 Years of Hiew = 20% discount

2011-04-02T09:01:00.010+07:00

The first version of hiew has been released 20 years ago, April 1991.

all April 20% discount for Hiew !

on ShareIt! page 1-year updates or lifetime updates into field

'Please enter your coupon code (if available)' <finished>

on BMT Micro page 1-year updates or lifetime updates into field

'Discount code' <finished>

NB: no last-version delay for action

(exUSSR) скидка 20% в честь 20-летия

2011-04-02T09:00:00.025+07:00

Да-да, первая версия hiew была написана 20 лет назад, в апреле 1991 года. Точной даты, увы, не сохранилось.

В честь 20-летия весь апрель 20% скидка на годовую версию!

на allsoft.ru выбрать лицензию 1 год бесплатных обновлений, 2 года при повторных покупках для физического/юридического лица и на странице покупки в полях 'Активация купона (карты)' ввести серию и номер скидочного купона.

<акция завершена>

опрос марта: итого

2011-04-01T08:09:00.001+07:00

нужна ли 64-битная версия ?

не особо, и 32-битная работает   9 (39%)
да, если она будет бесплатной в рамках
   действующей лицензии 12 (52%)
да, и даже за новые деньги   2 (8%)

Количество проголосовавших: 23

Google делает правильный backup, а Вы ?

2011-03-31T09:00:00.002+07:00

а теперь о погоде...

2011-03-25T09:25:00.000+06:00

Autouninstall для автообновления

2011-03-24T09:00:00.012+06:00

При автообновлении теоретически пользователь всегда имеет последнюю версию программы, не утруждая себя сверкой версий, чтением 'что нового', скачиванием и переустановкой. И не важно что новая версия не всегда только исправляет ошибки и расширяет функциональность.
Приемлимо если при инсталяции программы дают снять галочки с пунктов 'проверять новые версии' и 'автоматичеки обновляться', но не понимаю когда при установке такого выбора нет, а модуль обновления засовывают в автозагрузку системы, причем если его оттуда удалить, программа при старте затолкает свое ~~гав~~ автообновление обратно.
Uninstall не раздумывая.

обновление ShellExt v4

2011-03-21T09:04:00.000+06:00

Michal Hanebach обновил cmd-файл ShellExt до 4-ой версии

я не знал этого: Ctrl-* в текстовом режиме

2011-03-18T08:00:00.002+06:00

вызывает диалог запись блока для полного файла, полезна если надо записать файл в другой кодировке.

Срипт PEiD для плагина PyHiew

2011-03-14T09:19:00.000+06:00

Elias Bachaalany устал запускать внешний exe для определения чем упакована программа, и к своему PyHiew написал скрипт для подобного детектирования.

Подробности в его блоге. Обновленный PyHiew там же, либо на странице hem.

я не знал этого: калькулятор загораживает что-то нужное на экране ?

2011-03-11T08:00:00.000+06:00

просто двигайте оконо калькулятора вниз или вверх соответствующими кнопочками.

обновление ShellExt v3

2011-03-07T09:03:00.001+06:00

Michal Hanebach обновил маленький cmd-файл ShellExt, который добавляет/убирает пункт 'Open with Hiew' в explorer context menu.

я не знал этого: дизассемблер с любого байта

2011-03-05T07:38:00.000+06:00

Бывает так ~~что меркнет свет,~~ что начало нужной инструкции прочно засело внутри другой.

Поставьте курсор на первый байт нужной инструкции и нажмите / (слеш), код на экране начнется с байта под курсором.

опрос февраля: итого

2011-03-01T08:33:00.000+06:00

как часто читаете/просматриваете этот блог ?

я подписан на сообщения 6 (30%)
каждый день 3 (15%)
через день 1 (5%)
пару раз в неделю 3 (15%)
раз в неделю 1 (5%)
2-3 раза в месяц 0 (0%)
как попало 1 (5%)
я сюда вообще случайно зашел 5 (25%)

Количество проголосовавших: 20

Короткий месяц - короткий backup

2011-02-28T08:00:00.000+06:00

я не знал этого: вы же не думаете что про значения под курсором уже было сказано все ? а калькулятор ?

2011-02-24T08:00:00.004+06:00

А в калькуляторе при вычислениях можно задавать значение под курсором как:

@b - signed char
@B - unsigned char (BYTE)
@w - signed short
@W - unsigned short (WORD)
@d - signed long
@D - unsigned long (DWORD)
@q - signed int64
@Q - unsigned int64 (QWORD)

напр.:

@w = просто отобразит значение слова под курсором в различных видах

@b * 255 = а можно и в вычислениях применять

я не знал этого: (без)знаковое отображение imm8

2011-02-21T09:35:00.000+06:00

В опкодах где непосредственное значение imm8 представлено байтом которое требует расширения до знака, возможно задать знаковое/безнаковое отображение через строку в ini-файле:

SignImmediate = Off ( как беззнаковое, 83E0EF and eax,0ef )

SignImmediate = On ( как знаковое, 83E0EF and eax,-011 )

Cмену отображения можно проделать и 'на ходу' через комбинацию Alt-I

а ведь какая была идея..

2011-02-17T11:03:00.000+06:00

DLL - хорошая идея, один и тот же код используют множество программ.Экономится память (что почти важно до сих пор), место на диске (уже почти не важно), исправление ошибок и новые версии не требуют перекомпиляции собственно программ.

Но наступает минута когда ~~театр уходит от нас навсегда~~ разным программам (или даже разным версиям одной и той же) требуются разные версии dll, но с одним и тем же именем. И самое грустное то, что при этом программа ничего не может сказать о неподходящей dll, и тут-то возникают мелкие и разные баги.

я не знал этого: в продолжение темы переходы под курсором

2011-02-16T08:31:00.000+06:00

Shift-F9 (hex,code) еще одна комбинация, облегчающая навигацию по файлу.

Показывает список вместе с адресами, полезна для всяческих списков адресов.

Имеет несколько вариантов перехода (выхода из списка):

Enter - переход по адресу в списке, текущий режим (hex,code) сохраняется

Ctrl-Enter - тот же переход, но текущий режим меняется с hex на code (с code на hex)

Backspace - выход на адрес адреса, тот который в колонке слева

Escape - выход из списка без изменения текущего адреса

я не знал этого: посмотреть версию HEM

2011-02-11T11:23:00.000+06:00

можно в hiew через F11 + F6 на нужном модуле.

в кулацком хозяйстве все пригодится

2011-02-11T08:00:00.003+06:00

Давно вычитал о том что windows позволяет даже в пользовательском режиме запросто контролировать запуск процессов.
И чесались у меня руки эту штуку задействовать, но не к чему было ее приложить.
А тут понадобилось узнать параметры запускаемого процесса который стартует из-под другого процесса и быстро-быстро завершается.

Сначала коротенько о контроле запуска:

создать dll с экспортируемой функцией
NTSTATUS CreateProcessNotify( LPCWSTR lpApplicationName, ULONG uReason )

прописать dll в ветке реестра
HKLM\System\CurrentControlSet\Control\Session Manager\AppCertDlls

и windows при создании процесса будет слать уведомления
#define APPCERT_IMAGE_OK_TO_RUN 1
#define APPCERT_CREATION_ALLOWED 2
#define APPCERT_CREATION_DENIED 3

сначала с кодом 1: хочу запустить lpApplicationName - возражания есть ? если нет возвращаем STATUS_SUCCESS
затем либо с кодом 2 если процесс будет запущен, либо с кодом 3 если кто-то был против.

И подумалось мне что в момент такого уведомления можно получить командную строку через банальный GetCommandLine()

Быстро сделана AppCertDll, прописана в реестре и... как говорится, две новости:
хорошая: AppCertDll отрабатывает, командная строка получается вполне корректной, хотя не совсем ожидаемой
плохая: ничего больше не запускается, т.е. вообще ничего. The system cannot execute the specified program.

Наверное что-то с кодом возврата не того и надо возвращать для успеха не 0 - не помогло...

Добавил вывод параметра uReason - все как написано выше, возвращаешь 0 следующим приходит APPCERT_CREATION_ALLOWED, возвращаешь не 0 приходит APPCERT_CREATION_DENIED, но процессы больше не стартуют в любом случае...

Когда смотришь исходники и не понимаешь почему не работает, надо смотреть как это работает в коде.

Но как найти откуда система вызывает AppCertDll ? конечно можно добавить '_asm int 3' в CreateProcessNotify, но тема не про отладчики.

А ведь появился шикарный DSymLoad.hem, позволяющий грузить отладочные символы прямо в hiew, ща испытаем его в серьезном деле!

То что вызов AppCertDll искать надо в kernel32.dll почти очевидно, если нет то поискать строку CreateProcessNotify в системных dll.

Итак, hiew kernel32.dll и загрузка DSymLoad.hem через F11.

Сначала надо указать пути к dbghelp.dll и к серверу символов (подробнее см. документацию к DSymLoad)

F12 - грузим отладочные символы, если они уже на диске, это очень быстро, если будут загружены с интернета - зависит от скорости интернета. загрузились, F12 (посмотреть имена)

но что искать, какое имя ? для начала поищем имена содержащие appcertdll, это есть и в ветке реестра и константы для uReason тоже где-то рядом по написанию
F7-F7

вау! какой приятный сюрприз, есть имя BasepAppCertDllsList и оно наверняка указыает на список этих самых dll,
в первом случае мало интересного, но зато как расписаны имена!

дальше (Ctrl-Enter) тоже не возбуждает, но имена по-прежнему красиво смотрятся

а вот здесь уже любопытно

сразу бросаются в глаза push 2, push 1, push 3, - очень похожи на три константы define для uReason,

разбираем код:
в начале в ebx положили APPCERT_CREATION_ALLOWED - запуск процесса разрешен
затем цикл (4) по всему списку BasepAppCertDllsList - первый проход с uReason = APPCERT_IMAGE_OK_TO_RUN
если возврат не 0 (STATUS_SUCCESS) то ebx заменяется на APPCERT_CREATION_DENIED
и второй цикл (6) опять по всему списку с результатом 'голосования' в ebx

очевидно, это как раз код вызова AppCertDll, тем более что 'искать дальше' говорит о том что больше ничего нет.

Внимательно смотрим на call и видим что параметры из стека чистит вызываемая функция, а у нас в AppCertDll...
...открываем AppCertDll в hiew и enter-F8-F9 (просмотр экспорта)

Enter и мы в CreateProcessNotify,
... а в AppCertDll - простой ret, параметры не чищены, а при поломанном стеке может быть все что угодно.
'Шарик, Шарик, ты - балбес' (c) Матроскин, у CreateProcessNotify должен быть тип вызова WINAPI он же stdcall.
вот только почему-то в моих записях о контроле запуска про тип не было ничего указано, или в том месте где брал не было или потерял.

Причина глюка понятна, как починить - тоже, ради интереса можно еще в kernel32 побродить, например поискать из какого места вызывается 'голосование'.
Но опять проблема в том что это самое голосование не оформлена как явная функция с прологом типа push ebp, mov ebp,esp и т.д.
Хорошо бы видеть откуда есть ссылки на вышележащий (выше на экране,ниже по адресам) код, и поможет в этом еще один hem - WhereComesFrom, который составляет список куда-откуда были переходы они же перекрестные ссылки.
Вот такой список возле вызова AppCertDll, несколько близких переходов это рядом, плюс/минус 20 байтов, а вот был переход издалека с адреса .7C81958C

Enter на этой строке и, оба-на, опять сюрприз, мы в функции с говорящим названием BasepIsProcessAllowed,

а она в свою очередь вызывается из... опять на помощь зовем WhereComesFrom.hem

... вот из этого места

дальше все скучно, stdcall для CreateProcessNotify, немного войнушки с декорированием функции (в случае stdcall в экспорт попадает не совсем то имя, а _CreateProcessNotify@8)
и все работает, а я опять наступил на тяпку calling conversion

не ставьте прямых ссылок

2011-02-07T08:00:00.005+06:00

на конкретные версии файлов в статьях, блогах, новостях, на форумах, и пр., народ тычет на них не глядя

натыкано за январь

я не знал этого: таблица строк PE-ресурсов

2011-02-04T07:00:00.003+06:00

Показывается по комбинации F8 - AltF6 в режимах Hex и Code.
Можно применить фильтр (F9) для показа только необходимых строк.

А еще можно попытаться найти ссылку на загрузку строки: Ctrl-Enter.
Фокус в том что ResourceID нужной строки как правило помещается в стек, а следовательно, ловится через банальный поиск push resId. Но очевидно что если resId будет очень маленьким то это ничего не даст. И вторая сложность поиска в том что собственно загрузка строки из ресурсов будет где-то сильно ниже через несколько call.

PeVerify.hem обновлен до версии 0.39

2011-02-02T08:35:00.002+06:00

PeVerify - это верификатор корректности структур PE-файла, таких как stub, header, sections table, directory table, import. Помогает понять почему файл не запускается (c:\xyz.exe is not a valid Win32 application).

наверное, все-таки правильнее будет здесь поставить ссылку на страницу HEM, чем на конкретную версию модуля

новый тип лицензии для exUSSR - hiew single

2011-02-01T09:12:00.001+06:00

С 1го февраля 2011 года появился новый тип лицензии для exUSSR:

Только одна версия, нет бесплатных обновлений, нет скидок при повторных покупках

Цена для физических лиц - 349 руб (*)
Цена для юридических лиц - 999 руб (*)

Страница покупки на Allsoft:
http://allsoft.ru/referal_reg.php?id=301

(*) цена гарантирована до 1 марта 2011, в дальнейшем текущую цену см. на странице покупки

опрос января: итого

2011-02-01T08:56:00.000+06:00

добавить в hiew поддержку AVX ?

а что это ? 19 (50%)
не надо, это лишнее 0 (0%)
может быть, пусть будет 15 (39%)
обязательно 4 (10%)

Количество проголосовавших: 38

я не знал этого: таблица символов и цвета

2011-01-27T08:06:00.000+06:00

Alt-F8 (в текстовом режиме можно F8) - F9 и можно посмотреть какому байту какие символы соответствуют

со времен dos осталось, что на нижней рамке отображается цвет для текущего байта (на рисунке 70h - черное на белом), перемещаться как обычно стрелочками вверх-вниз-вправо-влево.

Luicida Console фонт и проблема знакоместа 0D

2011-01-23T11:03:00.001+06:00

несколько человек написали про одну и ту же проблему:
если в win7 выставлен фонт Luicida Console, то в hiew не отображаются символы 0D,0A, то есть их вообще нет, нет знакоместа как такового, но если курсор стоит конкретно на этом символе - он возникает ниоткуда, во как!
на той win7 что есть у меня (пустая pro32 под vm) это не воспроизводится, подозреваю какое-то сочетание консольной ansi-программы и конкретного truetype фонта.
как исправить - не знаю тоже, кроме как сменить фонт.

если кто что может подсказать - пишите в комментариях либо на e-mail.

update: одна из присланных картинок:

я не знал этого: ассемблер и выбор из нескольких вариантов

2011-01-20T07:00:00.006+06:00

кнопка F4 в окошке ассемблера включает возможность выбора целевой инструкции если есть несколько вариантов, например:

после ввода предлагаются подходящие варианты

Чапай должен уметь думать, а не просто шашкой махать

2011-01-13T06:00:00.059+06:00

опросы читателей не развлекают, тогда может быть они захотят потрещать мозгами после долгих выходных.

предлагается задачка: программа не корректно работает с образами .iso размером более 2Г

для far имеется плагин, который позволяет смотреть в .iso и извлекать файлы, проблема в том что если извлекается файл из .iso за пределами 2Г, он оказывается состоящим из одних нолей.

не долго думая ищем SetFilePointer (не долго, потому что именно через эту функцию двигается указатель смещения в файле), аналогично тому как искали вызов LoadKeyboardLayout в сообщении не надо при старте переключаться на русскую раскладку,
или можно совсем по-простому через F7-F7:

назовем найденную коротенькую функцию, вызывающую SetFilePointer как seek - клавиша Shift-F12 на первом байте функции (здесь начало определяется элементарно, адрес .10001010)

замечаем повыше много nop, которые наверняка не используются (выравнивание после пустой функции по адресу .10001000), и вместо которых можно будет положить патчик если понадобится.

(в скобках замечу что в файле далее есть еще один вызов SetFilePointer, но он к проблеме 2Г не имеет отношения)

для удобства распишем параметры с помощью клавиши точка-с-запятой - курсор поставить на строку с push и нажать ;

все расписанные параметры функции SetFilePointer:

понятен и протопип: DWORD seek( long lDistanceToMove /*позиция файла*/, DWORD dwMoveMethod /*стартовая точка*/ )

сразу виден корень проблемы: параметр lpDistanceToMoveHigh в NULL, lDistanceToMove считается знаковым и не может быть более 2Г, а хочется до 4Г

опять через F7-F7 поищем ссылки на функцию, названную seek

нашли раз:

нашли два:

нашли три:

отмотаем наверх несколько экранов чтобы увидеть что лежит в регистре ebx

выше дана вся информация, и даже больше чем надо, и даже в картинках для того чтобы уговорить плагин правильно извлекать файлы за пределами 2Г.

если думать будет лень, очень красивое решение будет опубликовано через неделю, не потому что раньше никто не догадается, потому что такие блоги читаются полтора раза в неделю.

я не знал этого: еще переход под курсором

2011-01-10T06:00:00.000+06:00

комбинация Shift-F11 в режиме Hex добавляет к текущему смещению значение под курсором на выбор: byte, word, dword, которые могут быть как little- так и big-endian

если не совсем понятно, читать подробнее

К примеру, возмем формат JPG.

Он состоит из блоков, у которого есть двухбайтовый маркер (в желтом) и собственно блок (в красном). В начале блока записана длина как big-endian word (старший байт впереди). Чтобы перейти к следующему блоку надо к смещению текущего блока (4h) прибавить длину блока (10h).

Shift-F11 берет значение под курсором как byte(00), little-endian word (1000), be-word (0010), le-dword(464a1000), be-dword(00104a46) и прибавляет выбранное значение (здесь be-word) к текущему смещению:

оказались на маркере следующего блока (FFDB), длина которого 43h байтов.

я не знал этого: перейти по адресу под курсором

2011-01-09T06:00:00.001+06:00

можно с помощью комбинации Shift-F10 в режимах Hex и Code

если хотели что-то изменить в файле по F3, а увидели

2011-01-05T11:31:00.000+06:00

а затем

это значит что файл занят другой программой (или файл - сам процесс и сейчас запущен и находится в памяти).

чтобы избавиться от Sharing violation надо закрыть этот самый файл в другой программе (или завершить процесс).

Опрос как информация к размышлению

2011-01-02T12:07:00.001+06:00

раз движок блога позволяет проводить опросы так воспользуюсь этим.

разумеется, это не значит что спрашивая, например, 'делать ли GUI ?' и получая 102% ответов ДА! (и при этом каждый проголосуют минимум по 4 раза), все брошу и буду рисовать GUI, нет конечно :)

надеюсь, результаты опроса будут более-менее точной информацией о мнениях читателей.

бакапить надо сегодня, завтра будет некогда, послезавтра - поздно

2010-12-30T00:01:00.003+06:00

я не знал этого: пропустить блок одинаковых байтов

2010-12-27T07:00:00.013+06:00

В файлах зачастую попадаются блоки из одинаковых байтов (подряд много nop или много-много-много нолей), Ctrl-F7 ищет следующий байт отличный от текущего и поможет быстро найти где такой блок заканчиваются.

Но с добавлением этой возможности случилась коллизия.

Исторически так сложилось что для искать следующий были доступны три комбинации: Shift-F7, Ctrl-F7, Ctrl-Enter. Как-то многовато для одной и той же операции, и искать отличный от текущего стала Ctrl-F7, что вызвало недовольство тех кто пользовался исключительно этой комбинацией для продолжения поиска.

С версии 8.11 была добавлена возможность использовать для этого Shift-F7, для чего в ini-файле надо прописать:

KeysOtherNextSwap = On

это опция меняет местами действия Ctrl-F7 и Shift-F7

рассылка версии 8.13 завершена

2010-12-24T08:33:00.004+06:00

- FIX(8.12): потеряна минусовая форма для disp8
- Filemenu: Alt-F3 открывает Device menu
- первый символ '$' разрешен в текстовом файле импорта имен

- FIX(8.12): потеряна минусовая форма для disp8

случилось в предыдущей версии 8.12, вместо mov [ebp][-8],eax стало отображаться mov [ebp][0F8],eax (как было давно)
проблема возникает когда хочется исправить команду через ассемблер, 0F8 воспринимается как disp32 и команда уже не укладывается в размер старых байтов

- Filemenu: Alt-F3 открывает Device menu

'...написано что hiew умеет редактировать диски, а он ничего подобного не умеет! а вот *** умеет'
уже надоело отвечать на подобные письма:
укажите \\.\c: для логического диска, \\.\physicaldrive0 для физического, \\.\cdrom0 для сдром
добавил меню и (есть такая дурная привычка переписать то что работает) немного изменил логику работы с устройствами \\.\, надеюсь ничего не испортил

в первых письмах рассылки было неверно указана кнопка Ctrl-F3 вместо Alt-F3, сорри, был тороплив

- первый символ '$' разрешен в текстовом файле импорта имен

раньше имя типа $abc не импортировалось из тестового файла и считалось ошибочным

еще делать подробные сообщения с картинками ?

2010-12-22T09:00:00.002+06:00

или коротенько описать:
в списке импорта можно использовать фильтр по функциям, напр. F9 *keyb*

сообщение с картинками требует много времени на подготовку, коротенько не всем может быть понятно о чем речь и в каком месте чего нажимать

версия 8.13 планируется к рассылке на следующей неделе

2010-12-18T11:06:00.001+06:00

зарегистрированные пользователи, у которых срок обновлений не истек и желающие получить ее первыми - пишите на sen@kemtel.ru с темой 'get first hiew 8.13' до вторника.

р-р-раз и готово! не надо при старте переключаться на русскую раскладку

2010-12-16T07:00:00.021+06:00

некая программа при запуске автоматически переключается на русскую раскладку клавиатуры. в настройках программы нет возможности отменить эту кому-то и нужную фичу.

как настоящий ленивый пользователь сначала написал письмо авторам с пожеланием отключать это в настройках, но ответа не дождался.

вообщем как обычно, все приходится делать самому. немного пояснительного текста и много-много картинок

грузим в хиев, Enter (переход в режим кода), F8-F7 (просмотр импорта)

конечно же не помню как называется функция winapi, отвечающая за переключение раскладки, но наверняка в ней есть keyb,

попросим хиев показать только те функции, названия которых содержит keyb - F9(фильтр)

всего 4 штуки, Get... вряд ли будут переключать, значит будем смотреть где вызывается LoadKeyboardLayoutW,

нажимаем Enter и хиев находит первый вызов, причем параметром идет 419(hex) = 1049(dec) как раз russian (еще помню 409h это english)

поищем следующие вызовы через Ctrl-Enter... а следующих и нет:

классика жанра - условный переход заменить на безусловный, чтобы функция LoadKeyboardLayoutW не вызывалась никогда

F3(редактировать)

конечно, проще вбить EB на место 75

но картинок просили больше, поэтому F2

jmps - сокращенная команда хиева от jmp short, 2 байта длиной как и исходная команда

Enter - Esc - F9 (записываем изменения)

15 секунд и при старте никакого автоматического переключения раскладки клавиатуры нет.

я не знал этого: разделитель в hex-режиме

2010-12-13T07:00:00.002+06:00

можно менять символ-разделитель четвертей в hex-режиме через ini-файл:

HexDelimiterChar = 0x2e