cópia c: \ windows \ regedit.exe falha

Question

Hoje à noite eu encontrei um fenômeno estranho no win7 (64bit pro). Quando copio o regedit.exe para, por exemplo, c: \, não consigo mais executá-lo. Simplesmente não começa mais. Quando eu tento depurá-lo com o olly db, olly diz que não é mais um arquivo pe de 32 bits válido. Um olhar mais atento revela que o arquivo está de alguma forma embaralhado / realinhado. O PE-Header é movido 8 bytes de volta. As seções rdata e pdata aparecem do nada.

O que o hack está acontecendo aqui?

Felicidades, Jan

    

Answer 1

Não é um arquivo de 32 bits válido porque C:\Windows\regedit.exe é um executável de 64 bits. A versão de 32 bits é C:\Windows\SysWow64\regedit.exe .

Posso confirmar que nenhum dos dois será executado se copiado de sua localização padrão.

O Win7 faz alguma mágica debaixo das cobertas. Se você executar regedit a partir de um processo de 32 bits, obterá o exe de 32 bits de C:\Windows\SysWow64 . Se você executar a partir de um processo de 64 bits, obterá o em C: \ Windows. Então, quando seu depurador de 32 bits acha que está depurando C:\Windows\regedit.exe , ele realmente tem C:\Windows\SysWow64\regedit.exe . Quando você copia regedit.exe de C:\Windows , em seguida, o redirecionamento não ocorre e seu depurador de 32 bits tem o exe de 64 bits - daí a aparente alteração.

    

Answer 2

Várias das ferramentas no NT6 são estúpidas assim, elas não rodam sem seus arquivos MUI (provavelmente na pasta en-us).

Eu uma vez hackeei o regedit para rodar não-elevado como admin e tive que lutar contra ele para fazer com que a cópia hackeada fosse executada e não me lembro dos detalhes exatos do que eu tinha que fazer ...

    

Answer 3

Ao copiar regedit.exe , você precisa copiar também o arquivo .mui localizado em uma subpasta culture (por exemplo, fr-FR\regedit.exe.mui ), caso contrário, não será iniciado.