取子程序地址 支持有字节集,自定义数据类型参数,API

福仔

总所周知,E在取子程序地址的时候,如果参数中有非基础数据类型,编译时不能通过语法检测
现在弄的这个支持语法检测,因为都是正规的

先说说思路

调用子程序的时候会把返回地址传递到子程序中,[ebp+4] 存放的就是执行完这个子程序后跳转的地址
先执行个子程序,取到返回地址,相当于取到了EIP执行的下一条指令,玩汇编的都知道,EIP存放的总是下一个指令的地址


执行完子程序,取到了EIP的地址,然后就从当前的EIP逐字节遍历,遇到call (字节"E8") 的时候就是调用子程序了
E在编译后,返回() 后面的代码一样会编译出去,其他语言不知道,没看过
然后利用返回,不执行子程序,并且还能计算子程序地址

计算子程序地址大概是这么实现

把EIP存放到EAX里,EIP不能直接访问,只能执行一个子程序后取[EBP+4]
EAX自增1,逐字节遍历
把[EAX] 存放到ECX
如果ECX的低8位,CL = E8 就是走到call的位置了
此时,EAX存放的就是调用这个子程序的指令地址,对应的指令应该是   CALL XXXX
call占一个字节,后面跟着偏移
把[EAX+1] 存到ECX,此时ECX记录的是偏移
在计算一下子程序的实际地址 LEA EAX, [EAX+ECX+5] EAX是 call XXXX 指令的位置 call XXX 占5个字节,计算出偏移后取他的地址
取到的地址就是子程序的实际地址
语言表达能力不足,懂的还是看汇编代码吧


mov eax,[ebp+4]
loop1:
inc eax
mov ecx,dword ptr ds:[eax]
cmp cl,0E8h
jnz loop1


mov ecx,dword ptr ds:[eax+1]
lea ebx,dword ptr ds:[eax+ecx+5]
mov eax,ebx
leave
ret 4

取带字节集参数的子程序地址,带自定义数据类型的地址,这些都没问题,也都能正常调用
现在还不支持数组参数,有空在去看看吧

取子程序地址.e (8.14 KB, 下载次数: 222)

2018-7-10 16:10 上传

点击文件名下载附件
下载积分: 精币 -2 枚

DDSGXQ

不错不错，可能要加精了

duxiu

看看     学习

xml696900

mark 楼主是否在搞一个取子程序汇编代码长度 或者提供一下思路

福仔

xml696900 发表于 2018-7-10 21:10
mark 楼主是否在搞一个取子程序汇编代码长度 或者提供一下思路

不搞,搞这个没人看的,搞这些越是深入,越是没人看,因为都看不懂
思路的话,大概就是取到子程序的真实地址
然后寻找
mov esp,ebp
pop ebp
retn

寻找这几个,这几个一般都在子程序的最后找到这几个位置减去子程序开始位置,就是子程序的长度了
不过子程序里调用 其他子程序的话,就深入去查找 call 吧
总之就是  子程序的结尾 - 子程序的开始

呵呵仙

谢谢福仔大神分享!睡了,晚安!!

LBrowser

支持楼主支持　　　　　　　　　　　　　

红桃软件定制

感谢发布原创作品，精易因你更精彩！

安静？高冷？

路过路过，感谢分享

qmdqaq

学习了