{"id":260441,"date":"2015-06-30T18:31:10","date_gmt":"2015-06-30T14:31:10","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=260441"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=260441","title":{"rendered":"\u00ab\u041f\u0440\u043e\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c\u00bb notepad.exe"},"content":{"rendered":"<p>     \t<img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/bae\/44c\/fdd\/bae44cfdd42a494396c7fd32f6e4884f.png\" alt=\"image\"\/><\/p>\n<p>  \u041a\u0430\u043a\u0430\u044f \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0443 \u0412\u0430\u0441 \u0441 \u043a\u043b\u0430\u0432\u0438\u0448\u0435\u0439 F5? \u041e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435? \u041a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 \u0438\u0437 \u043e\u0434\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0432 \u0434\u0440\u0443\u0433\u0443\u044e? \u0417\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438\u0437 Visual Studio? \u0410 \u0432\u043e\u0442 \u0430\u0432\u0442\u043e\u0440\u044b notepad.exe \u043f\u043e\u0434\u043e\u0448\u043b\u0438 \u043a \u044d\u0442\u043e\u043c\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u0443 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e \u2014 \u043f\u043e \u043d\u0430\u0436\u0430\u0442\u0438\u044e \u043a\u043b\u0430\u0432\u0438\u0448\u0438 F5 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u0434\u0430\u0442\u044b \u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0432 \u043c\u0435\u0441\u0442\u043e, \u043a\u0443\u0434\u0430 \u0432 \u044d\u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043a\u0443\u0440\u0441\u043e\u0440. \u0412\u0441\u0451 \u0431\u044b\u043b\u043e \u0431\u044b \u043a\u0440\u0443\u0442\u043e, \u0435\u0441\u043b\u0438 \u0431\u044b \u0432 notepad.exe \u0431\u044b\u043b\u0430 \u0442\u0430\u043a\u0430\u044f \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u0430\u044f \u0438 \u0432\u043f\u043e\u043b\u043d\u0435 \u0435\u0441\u0442\u0435\u0441\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0434\u043b\u044f \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0430 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0445 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440\u043e\u0432 \u0444\u0438\u0447\u0430, \u043a\u0430\u043a \u043f\u0435\u0440\u0435\u0447\u0438\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f, \u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0431\u044b, \u0438 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u043d\u0430 F5 \/ Ctrl-R \u0438\u043b\u0438 \u0435\u0449\u0451 \u043a\u0430\u043a\u043e\u0439-\u043d\u0438\u0431\u0443\u0434\u044c \u043e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u0439 \u0445\u043e\u0442\u043a\u0435\u0439.<\/p>\n<p>  \u041c\u044b \u043c\u043e\u0436\u0435\u043c \u0436\u0434\u0430\u0442\u044c, \u043f\u043e\u043a\u0430 \u0435\u0451 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u044e\u0442 Microsoft, \u0432\u044b\u0431\u0440\u0430\u0442\u044c \u0434\u0440\u0443\u0433\u043e\u0439 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 (\u0432\u0435\u0434\u044c \u044d\u0442\u043e \u043d\u0435 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0443 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e notepad.exe) \u0438\u043b\u0438\u2026 \u0412\u0437\u044f\u0442\u044c \u0432 \u0440\u0443\u043a\u0438 \u0434\u0438\u0437\u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0435\u0440, \u043e\u0442\u043b\u0430\u0434\u0447\u0438\u043a \u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 PE-\u0444\u0430\u0439\u043b\u043e\u0432.<\/p>\n<p>  \u041a\u0430\u043a \u043f\u0440\u043e\u0442\u0435\u043a\u0430\u043b \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u0438 \u0447\u0442\u043e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u0432\u044b\u0448\u043b\u043e, \u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u043f\u043e\u0434 \u043a\u0430\u0442\u043e\u043c (\u043e\u0441\u0442\u043e\u0440\u043e\u0436\u043d\u043e, <b>\u043c\u043d\u043e\u0433\u043e \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432<\/b>). \u041f\u0435\u0440\u0435\u0434 \u043f\u0440\u043e\u0447\u0442\u0435\u043d\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u0442\u0430\u043a\u0436\u0435 <b>\u043d\u0430\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u043d\u043e<\/b> \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u044e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0441 <a href=\"http:\/\/habrahabr.ru\/users\/nikitatrophimov\/topics\/\">\u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c\u0438<\/a>.<br \/>  <a name=\"habracut\"><\/a><br \/>  \u0427\u0442\u043e\u0431\u044b \u043d\u0435 \u0438\u043c\u0435\u0442\u044c \u0434\u0435\u043b\u043e \u0441 \u0442\u0435\u043c\u0438 \u0436\u0435 \u043d\u0435\u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430\u043c\u0438, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043c\u044b \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 <a href=\"http:\/\/habrahabr.ru\/post\/261233\/\">\u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u0441\u0442\u0430\u0442\u044c\u0435<\/a>, \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0434\u043b\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 <a href=\"https:\/\/en.wikipedia.org\/wiki\/Address_space_layout_randomization\">ASLR<\/a>. \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u0432\u0438\u043a\u0438, ASLR (Address space layout randomization) \u2014 \u044d\u0442\u043e \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f, \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438\u0437\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0432 \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0432\u0430\u0436\u043d\u044b\u0445 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e: \u043e\u0431\u0440\u0430\u0437\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043f\u043e\u0434\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u0443\u0447\u0438 \u0438 \u0441\u0442\u0435\u043a\u0430. \u0418\u043c\u0435\u043d\u043d\u043e \u0438\u0437-\u0437\u0430 \u043d\u0435\u0451 \u0432 \u043f\u0440\u043e\u0448\u043b\u044b\u0439 \u0440\u0430\u0437 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043b \u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044e \u0443\u0436\u0435 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u0440\u0430\u043d\u0435\u0435 \u0430\u0434\u0440\u0435\u0441\u043e\u0432. \u0415\u0441\u043b\u0438 \u0412\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0435 Windows XP \u0438\u043b\u0438 \u0431\u043e\u043b\u0435\u0435 \u0441\u0442\u0430\u0440\u0443\u044e \u041e\u0421, \u0442\u043e \u043c\u043e\u0436\u0435\u0442\u0435 \u0441 \u043b\u0451\u0433\u043a\u043e\u0441\u0442\u044c\u044e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0442\u043e, \u043e \u0447\u0451\u043c \u0431\u0443\u0434\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0430\u0431\u0437\u0430\u0446\u0430\u0445, \u0432\u0435\u0434\u044c ASLR \u043d\u0430 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0435\u0449\u0451 \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<p>  \u041e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 ASLR \u043c\u043e\u0436\u043d\u043e \u043a\u0430\u043a \u0433\u043b\u043e\u0431\u0430\u043b\u044c\u043d\u043e (\u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \/ \u043e\u0442\u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043e\u043f\u0446\u0438\u0438 \u00abMoveImages\u00bb, \u0445\u0440\u0430\u043d\u044f\u0449\u0435\u0439\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 \u00abHKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager\\Memory Management\u00bb, \u0447\u0442\u043e\u0431\u044b \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0435\u0451 \u0440\u0430\u0432\u043d\u043e\u0439 \u043d\u0443\u043b\u044e), \u0442\u0430\u043a \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e, \u0442.\u0435. \u0434\u043b\u044f \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0431\u043e\u043b\u0435\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0435\u0441\u043b\u0438 \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043d\u0435 \u043e \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435, \u0430 \u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0442\u0430\u043a \u0447\u0442\u043e \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c\u0441\u044f \u043d\u0430 \u043d\u0451\u043c.<\/p>\n<p>  \u041a\u043e\u043f\u0438\u0440\u0443\u0435\u043c notepad.exe \u0432 \u043b\u044e\u0431\u0443\u044e \u043e\u0442\u043b\u0438\u0447\u043d\u0443\u044e \u043e\u0442 &quot;%WINDIR%\\System32&quot; \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e, \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c, \u0440\u0430\u0437\u0430\u0440\u0445\u0438\u0432\u0438\u0440\u0443\u0435\u043c \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c <a href=\"http:\/\/sourceforge.net\/projects\/pe-tools\/\">PE Tools<\/a>, \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u043c Alt-1 \u0438 \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u043c \u0441\u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0440\u0430\u043d\u0435\u0435 notepad.exe:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/3c9\/282\/494\/3c9282494f624e4ebb5ab1cc304e696b.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041d\u0430\u0436\u0438\u043c\u0430\u0435\u043c \u043d\u0430 \u043a\u043d\u043e\u043f\u043a\u0443 \u00abOptional Header\u00bb \u0438 \u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u043f\u043e\u043b\u0435 DLL Flags, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0440\u0430\u0432\u043d\u043e 0x8140:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/8f0\/948\/c08\/8f0948c08b5b493892fe204deac845aa.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u044d\u0442\u043e\u043c \u043f\u043e\u043b\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0431\u0438\u0442\u043e\u0432\u043e\u0433\u043e \u00abOR\u00bb \u0434\u043b\u044f \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442, \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u043d\u044b\u0445 \u0432 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms680339(v=vs.85).aspx\">\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438<\/a> \u043d\u0430 MSDN. \u041d\u0435\u0441\u043b\u043e\u0436\u043d\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u043d\u0430\u0448 \u0431\u0438\u043d\u0430\u0440\u043d\u0438\u043a \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c\u0438 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u043c\u0438:<\/p>\n<blockquote><p>IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE<br \/>  0x8000<br \/>  The image is terminal server aware<\/p>\n<p>  IMAGE_DLLCHARACTERISTICS_NX_COMPAT<br \/>  0x0100<br \/>  The image is compatible with data execution prevention (DEP)<\/p>\n<p>  IMAGE_DLLCHARACTERISTICS_DYNAMIC_BASE<br \/>  0x0040<br \/>  The DLL can be relocated at load time<\/p><\/blockquote>\n<p>  \u041e\u0431\u0440\u0430\u0442\u0438\u043b\u0438 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435? \u0427\u0442\u043e \u0436, \u044d\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u043e, \u0447\u0442\u043e \u043d\u0430\u0441 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u0435\u0442. \u041c\u0435\u043d\u044f\u0435\u043c 0x8140 \u043d\u0430 0x8100, \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u043c \u00abOk\u00bb \u0432 \u043e\u0431\u043e\u0438\u0445 \u043e\u043a\u043d\u0430\u0445 \u0438 \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0430\u0435\u043c \u043a \u043e\u0442\u043b\u0430\u0434\u043a\u0435.<\/p>\n<p>  \u041d\u0430 \u043a\u0430\u043a\u0438\u0435 \u044d\u0442\u0430\u043f\u044b \u043c\u043e\u0436\u043d\u043e \u0443\u0441\u043b\u043e\u0432\u043d\u043e \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u0442\u044c \u043d\u0430\u0448 \u043f\u0430\u0442\u0447\u0438\u043d\u0433 notepad.exe?<\/p>\n<ul>\n<li>\u041f\u043e\u0438\u0441\u043a \u0430\u0434\u0440\u0435\u0441\u0430, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u0430<\/li>\n<li>\u041f\u043e\u0438\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430<\/li>\n<li>\u041f\u043e\u0438\u0441\u043a \u043a\u043e\u0434\u0430, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0435\u0433\u043e \u0437\u0430 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043d\u0430\u0436\u0430\u0442\u0438\u044f \u043a\u043b\u0430\u0432\u0438\u0448\u0438 F5<\/li>\n<li>\u0421\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0430\u043c\u043e\u0433\u043e \u043f\u0430\u0442\u0447\u0430<\/li>\n<\/ul>\n<p>  \u041e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c notepad.exe \u0432 <a href=\"http:\/\/www.ollydbg.de\/\">OllyDbg<\/a> \u0438 \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0430\u0435\u043c \u043a \u043f\u0435\u0440\u0432\u043e\u043c\u0443 \u044d\u0442\u0430\u043f\u0443.<\/p>\n<p>  \u041f\u043e\u0434\u043e\u0439\u0442\u0438 \u043a \u043f\u043e\u0438\u0441\u043a\u0443 \u0430\u0434\u0440\u0435\u0441\u0430, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043c\u043e\u0436\u043d\u043e \u0441\u0440\u0430\u0437\u0443 \u0441 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0441\u0442\u043e\u0440\u043e\u043d. \u041c\u043e\u0436\u043d\u043e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043e\u0442\u044b\u0441\u043a\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435\u043c \u0444\u0430\u0439\u043b\u0430 (\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0443\u0441\u043f\u0435\u0445\u0430 \u043e\u043d\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u043a\u0430\u043a\u043e\u043c\u0443-\u0442\u043e \u0430\u0434\u0440\u0435\u0441\u0443), \u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0430 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u0430 (\u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u043e\u043d \u0434\u043e\u043b\u0436\u0435\u043d \u0437\u043d\u0430\u0442\u044c \u043b\u0438\u0431\u043e \u0445\u044d\u043d\u0434\u043b \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043b\u0438\u0431\u043e \u043f\u0443\u0442\u044c \u0434\u043e \u043d\u0435\u0433\u043e). \u041f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043d\u0430 \u0432\u0442\u043e\u0440\u043e\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0435.<\/p>\n<p>  \u041d\u0430\u0434\u0435\u044f\u0441\u044c, \u0447\u0442\u043e \u0444\u0430\u0439\u043b \u043f\u0440\u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0438 \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u043d\u043e\u0432\u043e, \u0441\u0442\u0430\u0432\u0438\u043c \u0431\u0440\u044f\u043a\u0438 \u043d\u0430 \u0432\u044b\u0437\u043e\u0432\u044b WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/aa363858(v=vs.85).aspx\">CreateFileW<\/a>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/32e\/aec\/e47\/32eaece47d514f8680d21488fb84163a.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041d\u0430\u0436\u0438\u043c\u0430\u0435\u043c Ctrl-S, \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u043c \u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430 (\u0432 \u043c\u043e\u0451\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u044d\u0442\u043e \u00abC:\\helper.txt\u00bb) \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u0441\u044f \u043d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u043c\u0435\u0441\u0442\u0435:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/e58\/b31\/14b\/e58b3114b2f6401ebd89237c47485abc.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0438 \u0441 \u043a\u0430\u043a\u0438\u043c\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043d\u0430\u0441 \u043f\u043e\u0437\u0432\u0430\u043b\u0438:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/2f9\/805\/4fb\/2f98054fbfe94794b501d5452bad4dbf.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u043d\u0430 \u0447\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441, \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u044b\u0439 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430 (right-click \u043f\u043e \u0441\u0442\u0440\u043e\u043a\u0435 \u0441 \u0434\u0430\u043d\u043d\u044b\u043c \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u043c -&gt; Follow address in stack), \u0442\u043e \u043c\u044b \u0443\u0432\u0438\u0434\u0438\u043c \u043a\u0430\u043a \u0440\u0430\u0437 \u043d\u0430\u0448 \u043f\u0443\u0442\u044c:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/957\/4a1\/0d0\/9574a10d03d34caa94d9c3a450ed7696.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u043a\u043e\u0434, \u043d\u0430\u0445\u043e\u0434\u044f\u0449\u0438\u0439\u0441\u044f \u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u0437\u043e\u0432\u043e\u043c \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u0439 \u043d\u0430\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043d\u044f\u0442\u044c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0438 \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a \u043d\u0430\u043c \u043f\u043e\u043f\u0430\u043b \u044d\u0442\u043e\u0442 \u0430\u0434\u0440\u0435\u0441:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/000\/a56\/e27\/000a56e276884277858b809cecff2b74.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041a\u0430\u043a \u0412\u044b \u0432\u0438\u0434\u0438\u0442\u0435, \u0430\u0434\u0440\u0435\u0441, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430, \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432 <b>EBP-8<\/b>. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0441\u043d\u043e\u0432\u0430 \u043d\u0430\u0436\u043c\u0451\u043c Ctrl-S \u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0443\u0434\u0430 \u043c\u044b \u043f\u043e\u043f\u0430\u0434\u0451\u043c \u043d\u0430 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 (\u0432\u0435\u0434\u044c \u0442\u0435\u043f\u0435\u0440\u044c \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0443\u0436\u0435 \u0437\u043d\u0430\u0435\u0442 \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430, \u0447\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043c\u0435\u043d\u044f\u0442\u044c \u0445\u043e\u0434 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/99d\/cd4\/674\/99dcd46748994c3e859d3f0d5fe70394.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0418\u0442\u0430\u043a, \u043c\u044b \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043d\u0430 \u0442\u043e\u043c \u0436\u0435 \u0441\u0430\u043c\u043e\u043c \u0431\u0440\u044f\u043a\u0435, \u0447\u0442\u043e \u0438 \u0440\u0430\u043d\u044c\u0448\u0435, \u043e\u0434\u043d\u0430\u043a\u043e \u043f\u043e\u0437\u0432\u0430\u043b\u0438 \u043d\u0430\u0441 \u0443\u0436\u0435 \u0438\u0437 \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u043c\u0435\u0441\u0442\u0430:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/428\/ebe\/3de\/428ebe3ded8947f4a2c3676c66c15fa5.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041d\u0430 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u0430\u0434\u0440\u0435\u0441, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430, \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0435 <b>EBX<\/b>. \u0421 \u043c\u043e\u043c\u0435\u043d\u0442\u0430 \u043d\u0430\u0447\u0430\u043b\u0430 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e case-\u0431\u043b\u043e\u043a\u0430 (\u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f\u043c\u0438 \u0440\u0430\u043d\u044c\u0448\u0435 \u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u043c\u0435\u0441\u0442\u0430) \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430 \u043d\u0435 \u0438\u0437\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0438\u0441\u043a\u0430\u0442\u044c \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u043d\u0430\u0434\u043e \u0433\u0434\u0435-\u0442\u043e \u0440\u0430\u043d\u044c\u0448\u0435. \u0421\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0438 \u0441\u0441\u044b\u043b\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u043d\u0430\u0447\u0430\u043b\u043e \u0434\u0430\u043d\u043d\u043e\u0433\u043e case-\u0431\u043b\u043e\u043a\u0430 (left-click \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x01004D5D<\/b> -&gt; Ctrl-R):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/17e\/ec3\/043\/17eec30439dd44fb9506d2bc4c431343.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0420\u0430\u0437 \u0442\u0430\u043a\u043e\u0435 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0432\u0441\u0435\u0433\u043e \u043e\u0434\u043d\u043e, \u043f\u0440\u044b\u0433\u0430\u0435\u043c \u043d\u0430 \u043d\u0435\u0433\u043e \u043f\u043e \u043d\u0430\u0436\u0430\u0442\u0438\u044e \u043a\u043b\u0430\u0432\u0438\u0448\u0438 Enter \u0438 \u0441\u0440\u0430\u0437\u0443 \u0436\u0435 \u0432\u0438\u0434\u0438\u043c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0432 <b>EBX<\/b> \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/191\/c21\/84b\/191c2184bbe042c7a71fde3ff1a8ac38.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0418\u0442\u0430\u043a, \u043c\u044b \u043f\u043e\u043d\u044f\u043b\u0438, \u0447\u0442\u043e \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x0100CAE0<\/b> \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u0427\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435? \u0410 \u0434\u0430\u043b\u044c\u0448\u0435 \u043c\u044b \u0434\u043e\u043b\u0436\u043d\u044b \u043d\u0430\u0439\u0442\u0438 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443, \u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u0443\u044e \u0437\u0430 \u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430.<\/p>\n<p>  \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u0442\u0430\u043a\u0436\u0435 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c <b>CreateFileW<\/b> (\u0432\u043c\u0435\u0441\u0442\u043e \u044d\u0442\u043e\u0433\u043e \u043c\u044b \u043c\u043e\u0433\u043b\u0438 \u0431\u044b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0438\u0442\u044c \u0432\u044b\u0437\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms646927(v=vs.85).aspx\">GetOpenFileName<\/a>, \u043d\u043e \u0435\u0451 \u043d\u0435\u0442 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u043c\u0435\u0436\u043c\u043e\u0434\u0443\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u2014 \u0432\u0438\u0434\u0438\u043c\u043e, \u0432\u043c\u0435\u0441\u0442\u043e \u043d\u0435\u0451 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f Common Item Dialog API, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u043d\u0430 MSDN). \u041d\u0430\u0436\u0438\u043c\u0430\u0435\u043c Ctrl-O, \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u043c \u043b\u044e\u0431\u043e\u0439 \u0444\u0430\u0439\u043b (\u044f \u0432\u044b\u0431\u0440\u0430\u043b \u0442\u043e\u0442 \u0436\u0435 \u0441\u0430\u043c\u044b\u0439) \u0438, \u043d\u0435 \u0443\u0441\u043f\u0435\u0432 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0434\u0432\u043e\u0439\u043d\u043e\u0439 \u043a\u043b\u0438\u043a \u043c\u044b\u0448\u044c\u044e, \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u0441\u044f \u043d\u0430 \u0431\u0440\u044f\u043a\u0435 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x01006E8C<\/b>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/395\/65b\/192\/39565b1921a24f51b6940fca8373f987.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041f\u0440\u043e\u0434\u0435\u043b\u044b\u0432\u0430\u0435\u043c \u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437, \u043f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u0443\u0431\u0440\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0439 \u0431\u0440\u044f\u043a \u0438 \u043d\u0430\u0434\u0435\u044f\u0442\u044c\u0441\u044f \u043d\u0430 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435. \u0418 \u043f\u0440\u0430\u0432\u0434\u0430, \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0431\u044b\u043b \u0443\u0431\u0440\u0430\u043d \u0431\u0440\u044f\u043a \u043f\u043e \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u043c\u0443 \u0440\u0430\u043d\u0435\u0435 \u0430\u0434\u0440\u0435\u0441\u0443, \u043c\u044b \u0432\u0441\u0451 \u0436\u0435 \u0441\u043c\u043e\u0433\u043b\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0434\u0432\u043e\u0439\u043d\u043e\u0439 \u043a\u043b\u0438\u043a \u043f\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0435\u043c\u0443 \u043d\u0430\u0441 \u0444\u0430\u0439\u043b\u0443, \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0447\u0435\u0433\u043e \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u0442\u043e\u0447\u043a\u0430 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0430 \u0443\u0436\u0435 \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u043d\u043e \u0432 \u0434\u0440\u0443\u0433\u043e\u043c \u043c\u0435\u0441\u0442\u0435:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/5c1\/247\/60c\/5c124760c5604504be91d34bc35b153c.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0418\u0442\u0430\u043a, \u043d\u0430\u0448\u0430 \u0437\u0430\u0434\u0430\u0447\u0430 \u2014 \u0432\u044b\u044f\u0441\u043d\u0438\u0442\u044c, \u043a\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438 \u043a\u0430\u043a\u0443\u044e \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0432\u044b\u0437\u0432\u0430\u0442\u044c, \u0447\u0442\u043e\u0431\u044b \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0435\u0440\u0435\u0447\u0438\u0442\u0430\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0439 \u043d\u0430\u0441 \u0444\u0430\u0439\u043b. \u0421\u0442\u0430\u0432\u0438\u043c \u0431\u0440\u044f\u043a \u043d\u0430 \u0430\u0434\u0440\u0435\u0441, \u0441 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0430\u0441 \u043f\u043e\u0437\u0432\u0430\u043b\u0438<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/152\/385\/b01\/152385b017e04441bdd34981cffc37c1.PNG\" alt=\"image\"\/><\/p>\n<p>  , \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u043c F9, \u0438\u2026 \u041e\u043d \u0442\u0443\u0442 \u0436\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442! \u041d\u0438\u0447\u0435\u0433\u043e, \u0441\u043d\u043e\u0432\u0430 \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u043c F9, \u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u0444\u043e\u043a\u0443\u0441 \u043e\u043a\u043d\u0443 notepad.exe \u0438 \u0432\u0438\u0434\u0438\u043c, \u0447\u0442\u043e \u0431\u0440\u044f\u043a \u0441\u043d\u043e\u0432\u0430 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442. \u0414\u0430 \u0447\u0442\u043e \u0436 \u0442\u0430\u043a\u043e\u0435! \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u043d\u0430\u0447\u0430\u043b\u043e \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0439 CALL:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/07c\/3de\/540\/07c3de54064b449fae45f00770ba713e.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 \u2014 \u0441\u0443\u0434\u044f \u043f\u043e \u043a\u043e\u043b-\u0432\u0443 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u043c\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0438 \u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u043c\u044b \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u043c \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435, \u0434\u0430\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0430 \u0441\u043b\u0443\u0436\u0438\u0442 \u0434\u043b\u044f \u0440\u0435\u0430\u043a\u0446\u0438\u0438 \u043d\u0430 \u043b\u044e\u0431\u043e\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u0431\u0443\u0434\u044c \u0442\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0430 \u043e\u043a\u043d\u0443 notepad.exe \u0444\u043e\u043a\u0443\u0441\u0430 \u0438\u043b\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0444\u0430\u0439\u043b\u0430. \u0412\u0438\u0434\u0438\u043c\u043e, \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0436\u0430\u0442\u0438\u044f Ctrl-O \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u043e\u0433\u043e <b>CALL&#8217;\u0430<\/b>, \u0430 \u043b\u0438\u0448\u044c \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043d\u0430 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0439 case-\u0431\u043b\u043e\u043a \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0443\u0441\u043b\u043e\u0432\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0430. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0443\u0431\u0435\u0440\u0451\u043c \u0434\u0430\u043d\u043d\u044b\u0439 \u0431\u0440\u044f\u043a, \u0435\u0449\u0451 \u0440\u0430\u0437 \u043f\u043e\u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u044c \u0444\u0430\u0439\u043b \u0438 \u043d\u0430\u0439\u0434\u0451\u043c \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0443\u044e \u043a \u0431\u0440\u044f\u043a\u0443, \u0441\u0442\u043e\u044f\u0449\u0435\u043c\u0443 \u043d\u0430 \u043c\u0435\u0441\u0442\u0435 \u0432\u044b\u0437\u043e\u0432\u0430 <b>CreateFileW<\/b>, \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044e, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0435\u0441\u0442\u044c \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u0432 \u043a\u043e\u0434\u0435. \u0415\u044e \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x01004DF5<\/b>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/e7b\/2ed\/fa6\/e7b2edfa6b66417593c773933d533f97.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0421\u0442\u0430\u0432\u0438\u043c \u0431\u0440\u044f\u043a\u0438 \u043d\u0430 \u043e\u0431\u0430 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0434\u0435\u043b\u044b\u0432\u0430\u0435\u043c \u0442\u0435 \u0436\u0435 \u0441\u0430\u043c\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u0441\u044f \u0442\u0443\u0442:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/b6f\/dae\/808\/b6fdae808d784de598fb878c6b6df09d.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0421\u0442\u0430\u0432\u0438\u043c \u0431\u0440\u044f\u043a \u043d\u0430 \u043d\u0430\u0447\u0430\u043b\u043e \u0434\u0430\u043d\u043d\u043e\u0433\u043e case&#8217;\u0430, \u0441\u043d\u043e\u0432\u0430 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c \u0442\u043e\u0442 \u0436\u0435 \u0441\u0430\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0438 \u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u0442\u0443\u0442 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442:<\/p>\n<pre><code>; \u0417\u0430\u043d\u0443\u043b\u044f\u0435\u043c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0435 EDI 01003ECC   &gt; \\33FF          XOR EDI,EDI                              ;  Case 2 of switch 01001824 ; \u0412\u044b\u0437\u044b\u0432\u0430\u0435\u043c \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u0432 \u0442\u0435\u043a\u0443\u0449\u0435\u043c \u0444\u0430\u0439\u043b\u0435 ; \u0415\u0441\u043b\u0438 \u043e\u043d\u0438 \u0431\u044b\u043b\u0438, \u043e\u0442\u043e\u0431\u0440\u0430\u0437\u0438\u0442\u0441\u044f \u0434\u0438\u0430\u043b\u043e\u0433\u043e\u0432\u043e\u0435 \u043e\u043a\u043d\u043e \u0441 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u0438\u0435\u043c \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 \u0444\u0430\u0439\u043b 01003ECE   .  57            PUSH EDI 01003ECF   .  E8 90D7FFFF   CALL notepad.01001664 ; \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u043c\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 ; EAX == 1, \u0435\u0441\u043b\u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u043d\u0435 \u0431\u044b\u043b\u043e \/ \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043d\u0430\u0436\u0430\u043b \u043a\u043b\u0430\u0432\u0438\u0448\u0443 Save \/ Don't Save, EAX == 0, \u0435\u0441\u043b\u0438 \u0431\u044b\u043b\u0430 \u043d\u0430\u0436\u0430\u0442\u0430 \u043a\u043d\u043e\u043f\u043a\u0430 Cancel 01003ED4   .  85C0          TEST EAX,EAX ; \u0415\u0441\u043b\u0438 \u043d\u0430\u0436\u0430\u043b\u0438 Cancel, \u0442\u043e \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u043d\u0430\u0441 \u0443\u0436\u0435 \u043d\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u0435\u0442, \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u043c \u0432 \u0434\u0440\u0443\u0433\u043e\u0439 case 01003ED6   .^ 0F84 8ED9FFFF JE notepad.0100186A ; \u041f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0435\u043c \u043d\u0435\u0447\u0442\u043e \u0441 \u0430\u0434\u0440\u0435\u0441\u0430 0x100C00C \u0432 EAX \u0438 \u0437\u0430\u0442\u0435\u043c \u0432 EBP-10 01003EDC   .  A1 0CC00001   MOV EAX,DWORD PTR DS:[100C00C] 01003EE1   .  8945 F0       MOV DWORD PTR SS:[EBP-10],EAX ; \u0412\u044b\u0437\u044b\u0432\u0430\u0435\u043c \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0434\u0438\u0430\u043b\u043e\u0433\u043e\u0432\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u0441 \u043f\u0440\u043e\u0441\u044c\u0431\u043e\u0439 \u0432\u044b\u0431\u0440\u0430\u0442\u044c \u0444\u0430\u0439\u043b 01003EE4   .  8D45 F8       LEA EAX,DWORD PTR SS:[EBP-8] 01003EE7   .  50            PUSH EAX                                 ; \/Arg2 01003EE8   .  FF75 F4       PUSH DWORD PTR SS:[EBP-C]                ; |Arg1 01003EEB   .  E8 31000000   CALL notepad.01003F21                    ; \\notepad.01003F21 ; \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432\u044b\u0437\u043e\u0432\u0430 \u0434\u0430\u043d\u043d\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u0432 EBP-8 \u0431\u0443\u0434\u0435\u0442 \u0445\u0440\u0430\u043d\u0438\u0442\u044c\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 ; EAX == 0 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0443\u0441\u043f\u0435\u0445\u0430 \u0438 0x800704C7 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043d\u0430\u0436\u0430\u0438\u044f \u043a\u043d\u043e\u043f\u043a\u0438 Cancel 01003EF0   .  8BF0          MOV ESI,EAX 01003EF2   .  3BF7          CMP ESI,EDI ; \u041e\u0434\u0438\u043d \u0438\u0437 \u043f\u0440\u044b\u0436\u043a\u043e\u0432 \u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0443\u044e \u043d\u0430\u0441 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443 01003EF4   .  0F8D FB0E0000 JGE notepad.01004DF5 01003EFA   .  81FE C7040780 CMP ESI,800704C7 01003F00   .  0F85 DC0E0000 JNZ notepad.01004DE2 01003F06   &gt;  3BF7          CMP ESI,EDI 01003F08   .  0F8D E70E0000 JGE notepad.01004DF5 01003F0E   &gt;  8B45 F0       MOV EAX,DWORD PTR SS:[EBP-10] 01003F11   .  A3 0CC00001   MOV DWORD PTR DS:[100C00C],EAX 01003F16   .  56            PUSH ESI 01003F17   .^ E9 A2FCFFFF   JMP notepad.01003BBE <\/code><\/pre>\n<p>  \u0422\u0435\u043f\u0435\u0440\u044c \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a\u0438\u0435 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u044b \u0438 \u0430\u0434\u0440\u0435\u0441\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043a\u043e\u0434 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x01004DF5<\/b>, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0430\u043a\u043e\u0435 \u00ab\u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435\u00bb \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043b\u044f \u0435\u0433\u043e \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/eb1\/44d\/2c8\/eb144d2c893d47beb3410ceb14157db1.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u0434\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u0434 \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a <b>EBP-8<\/b>, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443, \u043a\u0430\u043a \u0412\u044b \u043f\u043e\u043c\u043d\u0438\u0442\u0435, \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u043f\u0443\u0442\u044c \u0434\u043e \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u041f\u043e\u043c\u0438\u043c\u043e \u044d\u0442\u043e\u0433\u043e, \u0435\u043c\u0443 \u0442\u0430\u043a\u0436\u0435 \u0432\u0430\u0436\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430 <b>EDI<\/b>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 <b>hTemplateFile<\/b> \u0438 <b>pSecurity<\/b>. \u041f\u0435\u0440\u0432\u043e\u0435 \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0434\u043e\u0441\u0442\u0430\u0442\u044c \u0438\u0437 \u0430\u0434\u0440\u0435\u0441\u0430 <b>0x0100CAE0<\/b>, \u0430 \u0432 \u043e\u0431\u043e\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u043d\u043e\u043b\u044c.<\/p>\n<p>  \u0422\u0435\u043f\u0435\u0440\u044c \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0439\u0434\u0451\u043c \u043a\u043e\u0434, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0438\u0439 \u0437\u0430 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043d\u0430\u0436\u0430\u0442\u0438\u044f \u043a\u043b\u0430\u0432\u0438\u0448\u0438 F5. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0431\u0440\u044f\u043a \u043d\u0430 \u0432\u044b\u0437\u043e\u0432\u044b \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0438\u0445 \u0437\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0435 \u0438\u0437 \u043d\u0438\u0445 \u2014 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms724390(v=vs.85).aspx\">GetSystemTime<\/a> \u0438 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms724338(v=vs.85).aspx\">GetLocalTime<\/a>. \u041f\u0435\u0440\u0432\u043e\u0439 \u043d\u0435\u0442 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u043c\u0435\u0436\u043c\u043e\u0434\u0443\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432, \u0430 \u0432\u043e\u0442 \u0432\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u0440\u0430\u0437\u0443 \u0438\u0437 \u0434\u0432\u0443\u0445 \u043c\u0435\u0441\u0442:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/97f\/26b\/611\/97f26b61144a4d0387f9c20e8a2a1060.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0421\u0442\u0430\u0432\u0438\u043c \u0431\u0440\u044f\u043a\u0438, \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u043c F5 \u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u0441\u044f \u0442\u0443\u0442:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/dd1\/6cb\/3a2\/dd16cb3a20a44e7b906729dbf537e37e.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041f\u0440\u044b\u0433\u0430\u0435\u043c \u043d\u0430 \u043c\u0435\u0441\u0442\u043e \u0432\u044b\u0437\u043e\u0432\u0430 \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u0438 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u043c \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0432 \u0441\u0430\u043c\u043e\u0435 \u043d\u0430\u0447\u0430\u043b\u043e \u0435\u0449\u0451 \u043e\u0434\u043d\u043e\u0433\u043e case-\u0431\u043b\u043e\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439, \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0438 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043d\u0430\u0436\u0430\u0442\u0438\u044f F5:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/20b\/3e3\/8f6\/20b3e38f6f424324bdea6113dc8d8352.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041e\u0442\u043b\u0438\u0447\u043d\u043e. \u0418\u0449\u0435\u043c \u043c\u0435\u0441\u0442\u043e \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e code cave&#8217;\u0430 \u0438 \u043f\u0438\u0448\u0435\u043c (\u0440\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u0430\u0434\u0440\u0435\u0441\u0430 \u043c\u043e\u0433\u0443\u0442 \u043e\u0442\u043b\u0438\u0447\u0430\u0442\u044c\u0441\u044f):<\/p>\n<pre><code>0100BEB3      33FF          XOR EDI,EDI 0100BEB5      C745 F8 E0CA0&gt;MOV DWORD PTR SS:[EBP-8],notepad.0100CAE0    ;  UNICODE &quot;C:\\helper.txt&quot; 0100BEBC      A1 0CC00001   MOV EAX,DWORD PTR DS:[100C00C] 0100BEC1      8945 F0       MOV DWORD PTR SS:[EBP-10],EAX 0100BEC4    ^ E9 2C8FFFFF   JMP notepad.01004DF5 <\/code><\/pre>\n<p>  \u0412\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x0100447B<\/b> \u043f\u0440\u044b\u0436\u043e\u043a \u043d\u0430 \u043d\u0430\u0448 code cave:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/7b5\/6ec\/226\/7b56ec226b114a728fb27c0ef630d435.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041d\u0430\u0436\u0438\u043c\u0430\u0435\u043c F9, \u0441\u043d\u043e\u0432\u0430 \u0436\u043c\u0451\u043c F5 \u0438 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/f6f\/a6e\/fee\/f6fa6efeeb024bcdb25914e7c08c6274.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041a\u0430\u043a \u0432\u0438\u0434\u0438\u0442\u0435, \u043c\u044b \u0443\u043f\u0430\u043b\u0438 \u0433\u0434\u0435-\u0442\u043e \u0432 \u043d\u0435\u0434\u0440\u0430\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms680722(v=vs.85).aspx\">CoTaskMemFree<\/a>. \u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442, \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u044b\u0439 \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u2014 \u0434\u0430-\u0434\u0430, \u044d\u0442\u043e \u0430\u0434\u0440\u0435\u0441 \u043d\u0430\u0448\u0435\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0441 \u043f\u0443\u0442\u0451\u043c \u0434\u043e \u0444\u0430\u0439\u043b\u0430. \u0417\u043d\u0430\u0447\u0438\u0442, \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u043e\u0434 \u043d\u0435\u0451 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0432\u044b\u0434\u0435\u043b\u044f\u0442\u044c \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms692727(v=vs.85).aspx\">CoTaskMemAlloc<\/a>. \u0412 \u044d\u0442\u043e\u043c \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043c\u043e\u0447\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u044f <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/bb759924(v=vs.85).aspx\">SHStrDup<\/a>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0434\u0443\u043f\u043b\u0438\u043a\u0430\u0442 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u043e\u0439 \u0435\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u0432\u044b\u0434\u0435\u043b\u0438\u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u043e\u0434 \u043d\u0435\u0451 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 <b>CoTaskMemAlloc<\/b>.<\/p>\n<p>  \u041f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c notepad.exe \u0438 \u0438\u0449\u0435\u043c \u0430\u0434\u0440\u0435\u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>SHStrDupW<\/b> \u0432 IAT. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u0432\u044b\u0437\u043e\u0432 \u043b\u044e\u0431\u043e\u0439 \u0434\u0440\u0443\u0433\u043e\u0439 WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432 \u043c\u043e\u0434\u0443\u043b\u0435:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/3ca\/5eb\/978\/3ca5eb978a3b4845a3e85d890f77f0bf.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0421\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0430\u0434\u0440\u0435\u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <a href=\"https:\/\/msdn.microsoft.com\/en-us\/library\/windows\/desktop\/ms645489(v=vs.85).aspx\">GetDlgItemTextW<\/a> \u0432 IAT \u2014 <b>0x010012A4<\/b>. \u041f\u0440\u044b\u0433\u0430\u0435\u043c \u043d\u0430 \u043d\u0435\u0433\u043e \u0438 \u0438\u0449\u0435\u043c \u043d\u0430\u0448\u0443 <b>SHStrDupW<\/b>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/f8c\/045\/630\/f8c0456303f14482a9306352d00e8345.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f, \u0435\u0451 \u0432\u044b\u0437\u043e\u0432 \u043c\u043e\u0436\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u0438\u0442\u044c \u0432 \u0432\u0438\u0434\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0438 <b>CALL DWORD PTR DS:[010013B4]<\/b>. \u0422\u043e\u0433\u0434\u0430 \u043f\u0438\u0448\u0435\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043a\u043e\u0434 (\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430 \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043e\u0448\u0438\u0431\u043e\u043a \u043e\u043f\u0443\u0449\u0435\u043d\u0430):<\/p>\n<pre><code>0100BFA5   .  33FF             XOR EDI,EDI 0100BFA7   .  8D45 F8          LEA EAX,DWORD PTR SS:[EBP-8] 0100BFAA   .  50               PUSH EAX                                          ; \/pTarget 0100BFAB   .  68 E0CA0001      PUSH notepad.0100CAE0                             ; |Source = &quot;C:\\helper.txt&quot; 0100BFB0   .  FF15 B4130001    CALL DWORD PTR DS:[&lt;&SHLWAPI.SHStrDupW&gt;]          ; \\SHStrDupW 0100BFB6   .  A1 0CC00001      MOV EAX,DWORD PTR DS:[100C00C] 0100BFBB   .  8945 F0          MOV DWORD PTR SS:[EBP-10],EAX 0100BFBE   .^ E9 328EFFFF      JMP notepad.01004DF5 <\/code><\/pre>\n<p>  \u041e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c \u043d\u0430\u0448 \u0444\u0430\u0439\u043b \u00abC:\\helper.txt\u00bb, \u0443\u0431\u0435\u0436\u0434\u0430\u0435\u043c\u0441\u044f, \u0447\u0442\u043e \u043e\u043d \u043f\u0443\u0441\u0442\u043e\u0439, \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u0443\u0435\u043c \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u043c \u0435\u0433\u043e \u0432 \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043e\u043f\u0438\u0438 notepad.exe, \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u043c F5 \u0432 \u043e\u0442\u043b\u0430\u0436\u0438\u0432\u0430\u0435\u043c\u043e\u0439 \u043d\u0430\u043c\u0438 \u0432\u0435\u0440\u0441\u0438\u0438, \u0438\u2026 \u0424\u0430\u0439\u043b \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0435\u0442\u0441\u044f!<\/p>\n<p>  \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043c \u043d\u0430\u0448\u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b. \u0414\u0435\u043b\u0430\u0435\u043c right-click \u043f\u043e \u043e\u043a\u043d\u0443 CPU -&gt; Copy to executable -&gt; All modifications -&gt; Copy all \u0438 \u0432\u0438\u0434\u0438\u043c:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/383\/def\/08f\/383def08f60e4874a983576715a3c5c2.PNG\" alt=\"image\"\/><\/p>\n<p>  \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043c\u044b \u0432\u044b\u043b\u0435\u0437\u043b\u0438 \u0437\u0430 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0433\u0440\u0430\u043d\u0438\u0446\u044b \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0432\u0437\u0433\u043b\u044f\u043d\u0435\u043c \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u044b \u0441\u0435\u043a\u0446\u0438\u0439 \u0432 PE Tools (\u043a\u043d\u043e\u043f\u043a\u0430 \u00abSections\u00bb)<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/91f\/008\/c1a\/91f008c1a6684f4eaae5847e1e076a96.PNG\" alt=\"image\"\/><\/p>\n<p>  \u0438 \u043f\u043e\u043c\u0435\u0441\u0442\u0438\u043c \u043d\u0430\u0448 code cave \u0432 \u043a\u0430\u043a\u043e\u0435-\u043d\u0438\u0431\u0443\u0434\u044c \u0434\u0440\u0443\u0433\u043e\u0435 \u043c\u0435\u0441\u0442\u043e. \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0432\u0435\u0440\u0445\u043d\u0435\u0439 \u00ab\u0433\u0440\u0430\u043d\u0438\u0446\u044b\u00bb \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0434\u043b\u044f \u00ab\u0431\u0435\u0437\u0431\u043e\u043b\u0435\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e\u00bb \u043f\u0430\u0442\u0447\u0430 \u043c\u044b \u0434\u043e\u043b\u0436\u043d\u044b \u0441\u043b\u043e\u0436\u0438\u0442\u044c Virtual Offset \u0441\u0435\u043a\u0446\u0438\u0438 .text, \u043a\u0443\u0434\u0430 \u043c\u044b \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u043c\u0441\u044f \u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c \u043d\u0430\u0448 \u043f\u0430\u0442\u0447, \u0435\u0451 Raw Size \u0438 Image Base, \u0442.\u0435. Virtual Offset (<b>0x00001000<\/b>) + Raw Size (<b>0x0000A800<\/b>) + Image Base (<b>0x01000000<\/b>) = <b>0x0100B800<\/b>. \u041f\u043e\u043c\u0435\u0441\u0442\u0438\u043c \u0435\u0433\u043e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 <b>0x0100B6CF<\/b> \u0438 \u043f\u043e\u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0435\u0449\u0451 \u0440\u0430\u0437 (right-click \u043f\u043e \u043e\u043a\u043d\u0443 CPU -&gt; Copy to executable -&gt; All modifications -&gt; Copy all -&gt; right-click \u043d\u0430 \u043f\u043e\u044f\u0432\u0438\u0432\u0448\u0435\u043c\u0441\u044f \u043e\u043a\u043d\u0435 -&gt; Save file).<\/p>\n<p>  \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0438\u0439\u0441\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u043e\u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u044c \u0438 \u0443\u0431\u0435\u0436\u0434\u0430\u0435\u043c\u0441\u044f, \u0447\u0442\u043e \u0432\u0441\u0451 \u0432\u0435\u0434\u0451\u0442 \u0441\u0435\u0431\u044f \u0442\u0430\u043a, \u043a\u0430\u043a \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f.<\/p>\n<h3>\u041f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u0435<\/h3>\n<p>  \u0426\u0435\u043b\u044c \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u2014 \u0432 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0440\u0430\u0437 \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 \u0432 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b, \u043d\u0435 \u0438\u043c\u0435\u044f \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043d\u0430 \u0440\u0443\u043a\u0430\u0445 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0445 \u043a\u043e\u0434\u043e\u0432. \u0410 \u0442\u0435\u043f\u0435\u0440\u044c \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0439\u0442\u0435\u0441\u044c \u043a \u0441\u0432\u043e\u0438\u043c vim&#8217;\u0430\u043c \/ emacs&#8217;\u0430\u043c \/ Notepad++ \/ etc, \u043d\u043e \u043f\u043e\u043c\u043d\u0438\u0442\u0435 \u2014 \u0435\u0441\u043b\u0438 \u0412\u044b \u0432\u0441\u0442\u0440\u0435\u0442\u0438\u0442\u0435 \u0431\u0430\u0433 \u0438\u043b\u0438 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u043a\u0430\u043a\u043e\u0433\u043e-\u043b\u0438\u0431\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 \u0432 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440\u0435 \u0441 \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u043c \u043a\u043e\u0434\u043e\u043c, \u0442\u0435\u043f\u0435\u0440\u044c \u0412\u044b \u0437\u043d\u0430\u0435\u0442\u0435, \u0447\u0442\u043e \u043d\u0430\u0434\u043e \u0434\u0435\u043b\u0430\u0442\u044c.<\/p>\n<p>  \u0421\u043f\u0430\u0441\u0438\u0431\u043e \u0437\u0430 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0438 \u0441\u043d\u043e\u0432\u0430 \u043d\u0430\u0434\u0435\u044e\u0441\u044c, \u0447\u0442\u043e \u0441\u0442\u0430\u0442\u044c\u044f \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u043a\u043e\u043c\u0443-\u043d\u0438\u0431\u0443\u0434\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439.     \t<\/p>\n<div class=\"clear\"><\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"http:\/\/habrahabr.ru\/post\/261411\/\"> http:\/\/habrahabr.ru\/post\/261411\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>     \t<img decoding=\"async\" src=\"https:\/\/hsto.org\/files\/bae\/44c\/fdd\/bae44cfdd42a494396c7fd32f6e4884f.png\" alt=\"image\"\/><\/p>\n<p>  \u041a\u0430\u043a\u0430\u044f \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0443 \u0412\u0430\u0441 \u0441 \u043a\u043b\u0430\u0432\u0438\u0448\u0435\u0439 F5? \u041e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435? \u041a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 \u0438\u0437 \u043e\u0434\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0432 \u0434\u0440\u0443\u0433\u0443\u044e? \u0417\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438\u0437 Visual Studio? \u0410 \u0432\u043e\u0442 \u0430\u0432\u0442\u043e\u0440\u044b notepad.exe \u043f\u043e\u0434\u043e\u0448\u043b\u0438 \u043a \u044d\u0442\u043e\u043c\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u0443 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e \u2014 \u043f\u043e \u043d\u0430\u0436\u0430\u0442\u0438\u044e \u043a\u043b\u0430\u0432\u0438\u0448\u0438 F5 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u0434\u0430\u0442\u044b \u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0432 \u043c\u0435\u0441\u0442\u043e, \u043a\u0443\u0434\u0430 \u0432 \u044d\u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043a\u0443\u0440\u0441\u043e\u0440. \u0412\u0441\u0451 \u0431\u044b\u043b\u043e \u0431\u044b \u043a\u0440\u0443\u0442\u043e, \u0435\u0441\u043b\u0438 \u0431\u044b \u0432 notepad.exe \u0431\u044b\u043b\u0430 \u0442\u0430\u043a\u0430\u044f \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u0430\u044f \u0438 \u0432\u043f\u043e\u043b\u043d\u0435 \u0435\u0441\u0442\u0435\u0441\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0434\u043b\u044f \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0430 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0445 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440\u043e\u0432 \u0444\u0438\u0447\u0430, \u043a\u0430\u043a \u043f\u0435\u0440\u0435\u0447\u0438\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f, \u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0431\u044b, \u0438 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u043d\u0430 F5 \/ Ctrl-R \u0438\u043b\u0438 \u0435\u0449\u0451 \u043a\u0430\u043a\u043e\u0439-\u043d\u0438\u0431\u0443\u0434\u044c \u043e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u0439 \u0445\u043e\u0442\u043a\u0435\u0439.<\/p>\n<p>  \u041c\u044b \u043c\u043e\u0436\u0435\u043c \u0436\u0434\u0430\u0442\u044c, \u043f\u043e\u043a\u0430 \u0435\u0451 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u044e\u0442 Microsoft, \u0432\u044b\u0431\u0440\u0430\u0442\u044c \u0434\u0440\u0443\u0433\u043e\u0439 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 (\u0432\u0435\u0434\u044c \u044d\u0442\u043e \u043d\u0435 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0443 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e notepad.exe) \u0438\u043b\u0438\u2026 \u0412\u0437\u044f\u0442\u044c \u0432 \u0440\u0443\u043a\u0438 \u0434\u0438\u0437\u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0435\u0440, \u043e\u0442\u043b\u0430\u0434\u0447\u0438\u043a \u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 PE-\u0444\u0430\u0439\u043b\u043e\u0432.<\/p>\n<p>  \u041a\u0430\u043a \u043f\u0440\u043e\u0442\u0435\u043a\u0430\u043b \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u0438 \u0447\u0442\u043e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u0432\u044b\u0448\u043b\u043e, \u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u043f\u043e\u0434 \u043a\u0430\u0442\u043e\u043c (\u043e\u0441\u0442\u043e\u0440\u043e\u0436\u043d\u043e, <b>\u043c\u043d\u043e\u0433\u043e \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432<\/b>). \u041f\u0435\u0440\u0435\u0434 \u043f\u0440\u043e\u0447\u0442\u0435\u043d\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u0442\u0430\u043a\u0436\u0435 <b>\u043d\u0430\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u043d\u043e<\/b> \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u044e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0441 <a href=\"http:\/\/habrahabr.ru\/users\/nikitatrophimov\/topics\/\">\u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u043c\u0438<\/a>.  <\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-260441","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/260441","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=260441"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/260441\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=260441"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=260441"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=260441"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}