【蠢新学汇编】截取 子程序代码 字节集片段

笨来无一悟

调试输出(截取代码 (到整数 (&子程序1)))

为什么用到整数?
因为参数是字节集或者自定义类型的时候需要一些骚操作才能取出指针 通常是整数 然后 子程序指针到整数 比 整数到子程序指针 顺手

具体有什么用?

我是拿来看看怎么样用自己手写的汇编结合易语言生成的汇编 优化运行效率 或者解决一些正常途径不好解决的问题

  

子程序名	返回值类型	公开	备 注
截取代码	字节集
参数名	类 型	参考	可空	数组	备 注
截取地址	整数型

变量名	类 型	静态	数组	备 注
截取长度	整数型
包装函数	逻辑型

截取长度 ＝ 0
包装函数 ＝ 假
置入代码 ({ 81, 82, 83 })
置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })
如果真 (包装函数)
置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })
置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })
置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })
置入代码 ({ 91, 90, 89 })
返回 (指针到字节集 (截取地址, 截取长度))

.版本 2<br /> <br /> .子程序 截取代码, 字节集<br /> .参数 截取地址, 整数型<br /> .局部变量 截取长度, 整数型<br /> .局部变量 包装函数, 逻辑型<br /> <br /> 截取长度 ＝ 0<br /> 包装函数 ＝ 假<br /> 置入代码 ({ 81, 82, 83 })<br /> 置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })<br /> .如果真 (包装函数)<br />     置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })<br /> .如果真结束<br /> 置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })<br /> 置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })<br /> 置入代码 ({ 91, 90, 89 })<br /> 返回 (指针到字节集 (截取地址, 截取长度))

不兼容 无参数 RET 不兼容 LEAVE 易语言自动生成的格式为 MOV ESP,EBP ; POP EBP
需要全兼容的可以自行扩充判断分支 寻找 {201} 紧跟 {194} 再后面的字节转整数可以被4整除 leave方便 代价是特征码更容易被误判

  

子程序名	返回值类型	公开	备 注
截取代码	字节集
参数名	类 型	参考	可空	数组	备 注
截取地址	整数型

变量名	类 型	静态	数组	备 注
截取长度	整数型
包装函数	逻辑型

截取长度 ＝ 0
包装函数 ＝ 假
置入代码 ({ 81, 82, 83 })
' PUSH ECX
' PUSH EDX
' PUSH EBX
置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })
' XOR EAX,EAX
' MOV ECX,85
' MOV EAX ,DWORD [EBP+8]
' MOV AL ,BYTE [EAX]
' MOVZX EAX, AL
' SUB ECX,EAX
' MOV DWORD [EBP-8],ECX
如果真 (包装函数)
置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })
' MOV ECX,DWORD [EBP+8]
' 入口:
' INC ECX
' MOV AL,BYTE [ECX]
' CMP AL,232
' JNE 入口
' MOV EAX,DWORD [ECX+1]
' LEA EBX,DWORD [ECX+EAX+5]
' MOV DWORD [EBP+8],EBX
置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })
' MOV ECX,DWORD [EBP+8]
' 出口:
' INC ECX
' CMP BYTE [ECX],139
' JNE 出口
' CMP BYTE [ECX+1],229
' JNE 出口
' CMP BYTE [ECX+2],93
' JNE 出口
' CMP BYTE [ECX+3],194
' JNE 出口
' XOR EDX,EDX
' XOR EAX,EAX
' MOV AL,BYTE [ECX+4]
' MOV EBX,4
' DIV EBX
' CMP EDX,0
' JNE 出口
置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })
' SUB ECX,DWORD [EBP+8]
' ADD ECX,6
' MOV DWORD [EBP-4],ECX
置入代码 ({ 91, 90, 89 })
' POP EBX
' POP EDX
' POP ECX
返回 (指针到字节集 (截取地址, 截取长度))

.版本 2<br /> <br /> .子程序 截取代码, 字节集<br /> .参数 截取地址, 整数型<br /> .局部变量 截取长度, 整数型<br /> .局部变量 包装函数, 逻辑型<br /> <br /> 截取长度 ＝ 0<br /> 包装函数 ＝ 假<br /> 置入代码 ({ 81, 82, 83 })<br /> ' PUSH ECX<br /> ' PUSH EDX<br /> ' PUSH EBX<br /> 置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })<br /> ' XOR EAX,EAX<br /> ' MOV ECX,85<br /> ' MOV EAX ,DWORD [EBP+8]<br /> ' MOV AL ,BYTE [EAX]<br /> ' MOVZX EAX, AL<br /> ' SUB ECX,EAX<br /> ' MOV DWORD [EBP-8],ECX<br /> .如果真 (包装函数)<br />     置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })<br />     ' MOV ECX,DWORD [EBP+8]<br />     ' 入口:<br />     ' INC ECX<br />     ' MOV AL,BYTE [ECX]<br />     ' CMP AL,232<br />     ' JNE 入口<br />     ' MOV EAX,DWORD [ECX+1]<br />     ' LEA EBX,DWORD [ECX+EAX+5]<br />     ' MOV DWORD [EBP+8],EBX<br /> .如果真结束<br /> 置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })<br /> ' MOV ECX,DWORD [EBP+8]<br /> ' 出口:<br /> ' INC ECX<br /> ' CMP BYTE [ECX],139<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+1],229<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+2],93<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+3],194<br /> ' JNE 出口<br /> ' XOR EDX,EDX<br /> ' XOR EAX,EAX<br /> ' MOV AL,BYTE [ECX+4]<br /> ' MOV EBX,4<br /> ' DIV EBX<br /> ' CMP EDX,0<br /> ' JNE 出口<br /> 置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })<br /> ' SUB ECX,DWORD [EBP+8]<br /> ' ADD ECX,6<br /> ' MOV DWORD [EBP-4],ECX<br /> 置入代码 ({ 91, 90, 89 })<br /> ' POP EBX<br /> ' POP EDX<br /> ' POP ECX<br /> 返回 (指针到字节集 (截取地址, 截取长度))

笨来无一悟

移步→ 【蠢新学汇编】截取 子程序代码 字节集片段 终版

https://125.confly.eu.org/forum.php?mod=viewthread&tid=14852400

龙傲天f

火钳刘明

神一样的人猫腻

火钳刘明

7ian

既然这样，把整数型改成 通用型，这样无论哪种子程序都可以用

myxy1022

感谢分享，这个啥作用，什么用处没看懂

ttggnn

支持开源~！感谢分享

艾玛克138

感谢老大，太好了

陆小白

感谢分享

xue9528

感谢分享

书希

感谢分享，很给力！~