【蠢新学汇编】截取 子程序代码 字节集片段

笨来无一悟

调试输出(截取代码 (到整数 (&子程序1)))

为什么用到整数?
因为参数是字节集或者自定义类型的时候需要一些骚操作才能取出指针 通常是整数 然后 子程序指针到整数 比 整数到子程序指针 顺手

具体有什么用?

我是拿来看看怎么样用自己手写的汇编结合易语言生成的汇编 优化运行效率 或者解决一些正常途径不好解决的问题

  

子程序名	返回值类型	公开	备 注
截取代码	字节集
参数名	类 型	参考	可空	数组	备 注
截取地址	整数型

变量名	类 型	静态	数组	备 注
截取长度	整数型
包装函数	逻辑型

截取长度 ＝ 0
包装函数 ＝ 假
置入代码 ({ 81, 82, 83 })
置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })
如果真 (包装函数)
置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })
置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })
置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })
置入代码 ({ 91, 90, 89 })
返回 (指针到字节集 (截取地址, 截取长度))

.版本 2<br /> <br /> .子程序 截取代码, 字节集<br /> .参数 截取地址, 整数型<br /> .局部变量 截取长度, 整数型<br /> .局部变量 包装函数, 逻辑型<br /> <br /> 截取长度 ＝ 0<br /> 包装函数 ＝ 假<br /> 置入代码 ({ 81, 82, 83 })<br /> 置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })<br /> .如果真 (包装函数)<br />     置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })<br /> .如果真结束<br /> 置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })<br /> 置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })<br /> 置入代码 ({ 91, 90, 89 })<br /> 返回 (指针到字节集 (截取地址, 截取长度))

不兼容 无参数 RET 不兼容 LEAVE 易语言自动生成的格式为 MOV ESP,EBP ; POP EBP
需要全兼容的可以自行扩充判断分支 寻找 {201} 紧跟 {194} 再后面的字节转整数可以被4整除 leave方便 代价是特征码更容易被误判

  

子程序名	返回值类型	公开	备 注
截取代码	字节集
参数名	类 型	参考	可空	数组	备 注
截取地址	整数型

变量名	类 型	静态	数组	备 注
截取长度	整数型
包装函数	逻辑型

截取长度 ＝ 0
包装函数 ＝ 假
置入代码 ({ 81, 82, 83 })
' PUSH ECX
' PUSH EDX
' PUSH EBX
置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })
' XOR EAX,EAX
' MOV ECX,85
' MOV EAX ,DWORD [EBP+8]
' MOV AL ,BYTE [EAX]
' MOVZX EAX, AL
' SUB ECX,EAX
' MOV DWORD [EBP-8],ECX
如果真 (包装函数)
置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })
' MOV ECX,DWORD [EBP+8]
' 入口:
' INC ECX
' MOV AL,BYTE [ECX]
' CMP AL,232
' JNE 入口
' MOV EAX,DWORD [ECX+1]
' LEA EBX,DWORD [ECX+EAX+5]
' MOV DWORD [EBP+8],EBX
置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })
' MOV ECX,DWORD [EBP+8]
' 出口:
' INC ECX
' CMP BYTE [ECX],139
' JNE 出口
' CMP BYTE [ECX+1],229
' JNE 出口
' CMP BYTE [ECX+2],93
' JNE 出口
' CMP BYTE [ECX+3],194
' JNE 出口
' XOR EDX,EDX
' XOR EAX,EAX
' MOV AL,BYTE [ECX+4]
' MOV EBX,4
' DIV EBX
' CMP EDX,0
' JNE 出口
置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })
' SUB ECX,DWORD [EBP+8]
' ADD ECX,6
' MOV DWORD [EBP-4],ECX
置入代码 ({ 91, 90, 89 })
' POP EBX
' POP EDX
' POP ECX
返回 (指针到字节集 (截取地址, 截取长度))

.版本 2<br /> <br /> .子程序 截取代码, 字节集<br /> .参数 截取地址, 整数型<br /> .局部变量 截取长度, 整数型<br /> .局部变量 包装函数, 逻辑型<br /> <br /> 截取长度 ＝ 0<br /> 包装函数 ＝ 假<br /> 置入代码 ({ 81, 82, 83 })<br /> ' PUSH ECX<br /> ' PUSH EDX<br /> ' PUSH EBX<br /> 置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })<br /> ' XOR EAX,EAX<br /> ' MOV ECX,85<br /> ' MOV EAX ,DWORD [EBP+8]<br /> ' MOV AL ,BYTE [EAX]<br /> ' MOVZX EAX, AL<br /> ' SUB ECX,EAX<br /> ' MOV DWORD [EBP-8],ECX<br /> .如果真 (包装函数)<br />     置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })<br />     ' MOV ECX,DWORD [EBP+8]<br />     ' 入口:<br />     ' INC ECX<br />     ' MOV AL,BYTE [ECX]<br />     ' CMP AL,232<br />     ' JNE 入口<br />     ' MOV EAX,DWORD [ECX+1]<br />     ' LEA EBX,DWORD [ECX+EAX+5]<br />     ' MOV DWORD [EBP+8],EBX<br /> .如果真结束<br /> 置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })<br /> ' MOV ECX,DWORD [EBP+8]<br /> ' 出口:<br /> ' INC ECX<br /> ' CMP BYTE [ECX],139<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+1],229<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+2],93<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+3],194<br /> ' JNE 出口<br /> ' XOR EDX,EDX<br /> ' XOR EAX,EAX<br /> ' MOV AL,BYTE [ECX+4]<br /> ' MOV EBX,4<br /> ' DIV EBX<br /> ' CMP EDX,0<br /> ' JNE 出口<br /> 置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })<br /> ' SUB ECX,DWORD [EBP+8]<br /> ' ADD ECX,6<br /> ' MOV DWORD [EBP-4],ECX<br /> 置入代码 ({ 91, 90, 89 })<br /> ' POP EBX<br /> ' POP EDX<br /> ' POP ECX<br /> 返回 (指针到字节集 (截取地址, 截取长度))

笨来无一悟

移步→ 【蠢新学汇编】截取 子程序代码 字节集片段 终版

https://125.confly.eu.org/forum.php?mod=viewthread&tid=14852400

萧楚楠

笨来无一悟 发表于 2025-2-24 19:48
[e=4].版本 2

.子程序 数组维度, 整数型

明白！谢谢恩师！

笨来无一悟

萧楚楠 发表于 2025-2-24 19:41
明白了恩师，来交个笔记

  

[backcolor=rgb (255, 255, 255)]数组维度这样取的 你取的是指针 还需要指针到整数才是维度[/backcolor]{:6_431:}[/quote]
[e=4].版本 2

子程序名	返回值类型	公开	备 注
数组维度	整数型
参数名	类 型	参考	可空	数组	备 注
整数数组	整数型				可以改成通用型

' __asm{
' mov eax,[ebp+8]
' mov eax,[eax]
' mov eax,[eax]
' leave
' ret 4
' }
返回 (0)

.版本 2<br /> <font style="background-color:rgb(255, 255, 255)">数组维度这样取的 你取的是指针 还需要指针到整数才是维度</font><img src="static/image/smiley/bofu/033.gif" smilieid="431" border="0" alt="" /></blockquote></div><br /> [e=4].版本 2<br /> <br /> .子程序 数组维度, 整数型<br /> .参数 整数数组, 整数型, 数组, 可以改成通用型<br /> <br /> ' __asm{<br /> ' mov eax,[ebp+8]<br /> ' mov eax,[eax]<br /> ' mov eax,[eax]<br /> ' leave<br /> ' ret 4<br /> ' }<br /> 返回 (0)

萧楚楠

明白了恩师，来交个笔记

  

子程序名	返回值类型	公开	备 注
_取数组地址	整数型
参数名	类 型	参考	可空	数组	备 注
数组	整数型

置入代码 ({ 139, 69, 8, 139, 0 })
返回（0）
' __asm{
' ; mov eax, [ebp+8]
' ; mov eax, [eax]
' }
' 当数组为{4，5，6}时
'  这个程序得到的地址是A
'  A 到 A+ 12这个内存地址里面的数据是
'  {1，0，0，0，3，0，0，0，4，0，0，0，5，0，0，0，6，0，0，0}
'  也就是
' {1，0，0，0}表示数组的维度
' {3，0，0，0}表示数组的成员数
' 其余的依次表示数据

.版本 2<br /> <br /> .子程序 _取数组地址, 整数型<br /> .参数 数组, 整数型, 数组<br /> <br /> 置入代码 ({ 139, 69, 8, 139, 0 })<br /> 返回（0）<br /> ' __asm{<br /> ' ; mov eax, [ebp+8]<br /> ' ; mov eax, [eax]<br /> ' }<br /> ' 当数组为{4，5，6}时<br /> '  这个程序得到的地址是A<br /> '  A 到 A+ 12这个内存地址里面的数据是<br /> '  {1，0，0，0，3，0，0，0，4，0，0，0，5，0，0，0，6，0，0，0}<br /> '  也就是<br /> ' {1，0，0，0}表示数组的维度<br /> ' {3，0，0，0}表示数组的成员数<br /> ' 其余的依次表示数据

萧楚楠

我就是纳闷为什么要在地址上+4  那不就从第五个开始读了嘛，前四个字节用来干嘛？

萧楚楠

没看懂，我细细理解，谢谢老师

笨来无一悟

萧楚楠 发表于 2025-2-24 15:44
太厉害了，老师那子程序指针是什么？是程序的入口地址吗？

真实地址里面就可以看见 正真的子程序汇编代码了 mov eax, 0x000000A8 把168赋值给eax 对上了

萧楚楠

太厉害了，老师那子程序指针是什么？是程序的入口地址吗？

萧楚楠

太高深了，是匹配出入口然后取的吗老师，我根本看不懂一点，到现在还在研究你昨天讲的整数型数组的内存对齐呢