Студентам с вопросами о лабораторных работах сюда

Хорошо, попробую найти, а этот код кидаем в текстовый фаил, потом переименовываем в *.asm!?

 

Patriot86rus
большинству компиляторов абсолютно все равно как обзывается файл и тем более что написано в имени после ".". главное чтобы внутри файла содержалась информация, которую сможет переварить данный компилятор

 

Салют всем,
Значение 7F7C0000H как перевести в 10риичную систему (с плавующей запятой)


111110000000000000000- мантиса
11111110-порядок
11111110(2) = 255(10)
коэф. смещения = 255-127=128

Что не так?

 

И здесь

 

ребят, в чем отличие

quote:


mov bx, offset Image

от

lea bx, Image



в отладчики все равно все сводится к mov bx, 0000h

 

команда lea является альтернативой оператору ассемблера offset. В отличие от offset допускает индексацию операнда, что позволяет более гибко организовать адресацию операндов.

 

Не путай mov offset и mov ptr

 

отличие lea от offset:

 

Перехват API - функций

Название уже избито, но у меня немного необычное задание.
Есть файл, в котором хранятся названия функций, типы их параметров и библиотеки, их содержащие. Нужно, чтобы прога перехватывала все функции, описанные в файле.
Проблема состоит в том, что я не знаю исчерпывающего списка возможных функций и не могу для каждой сделать свой обработчик.
Можете предложить идею, как это реализовать?

 

kamax70а какая вам разница, сколько у нее параметров. ставите jmp на свой код в начале функции и jmp на продолжение функции в конце своего кода. Если с параметрами работать не надо, то это подойдет для любой функции. Если надо работать с параметрами, то просто поверьте описанию из файла и предположите, что все так и есть. А обработчики можно и динамически генерировать.

 

Тут мой недочет, я не все условие сказал.. Вообще должен составляться ченджлог в новом файле того, что сделали функции. Например при CreateFile мне потребуется значения 1 и 5 параметров, для какой либо другой функции - значения других параметров. Если я ставлю jmp на свой код, как мой код может понять, какую именно API - функцию он заменяет? И даже зная параметры, как я могу динамически создать функцию с этими же параметрами?

 

так если известен тип вызова функции (а для API это обычно stdcall, реже fastcall и cdecl) то достаточно просто сообразить где они (параметры должны находиться)

Код (Text):

1. CreateFileW:
2.   jmp MyFunc                     // 5 байт
3. continue_createfile:
4.   ...
5. MyFunc:
6.   //здесь рассмотрим стек
7. // Return               [esp+0]
8. // Name                 [esp+4]
9. // Access               [esp+8]
10. // Share                 [esp+12]
11. // Security              [esp+16]
12. // Operation            [esp+20]
13. // Attributes            [esp+24]
14. // Template             [esp+28]
15. //а теперь загрузим номер необходимого нам параметра в eax и попробуем достать его из стека
16. // mov eax, par_number
17. // mov eax, [esp+eax*4+4] при условии, что параметры нумеруются с 0
18.    mov edi, edi                    // 2 байта
19.    push ebp                        // 1 байт
20.    mov ebp, esp                  // 2 байта
21.    jmp continue_createfile     // предыдущие 3 команды были затерты jmp MyFunc и мы их выполняем перед продолжением выполнения функции

Теперь для обработки всех параметров надо с генерировать следующую подпрограмму
1. jmp в перехватываемой функции
2. сохранить все регистры
3. цикл for (i=0;i<param_count;i++) check_param(get_param(i)), где check_param можно написать статически, get_param это вышеприведенные 2 команды mov а цикл - ну это уже совсем просто
4. команды, которые затрет jmp MyFunc
5. jmp на продолжение выполнения
для cdecl все будет аналогично, а вот с fastcall придется еще немного подумать

 

да. так как для каждой перехватываемой функции, такое возможно с генерировать автоматически, то для определения, какая функция вызвана можно просто проверить адрес возврата из функции перечисления параметров.

 

Эм.. я немножно не все понял.. Предположим

Код (Text):

1. type
2. far_jmp = packed record
3.   PuhsOp: byte;
4.   PushArg: pointer;
5.   RetOp: byte;
6.  end;
7. ....
8. var
9. olddata : oldCode;
10. JmpMCP: far_jmp;
11. ....
12.  
13. dll :=GetModuleHandle('kernel32.dll');
14. Adr  := GetProcAddress(dll, 'CreateFileA');
15. ReadProcessMemory(INVALID_HANDLE_VALUE, Adr, @Olddata, SizeOf(OldCode), Bytes);
16. JmpMCP.PuhsOp  := $68;
17. JmpMCP.PushArg := @myfunction;
18. JmpMCP.RetOp   := $C3;
19. WriteProcessMemory(INVALID_HANDLE_VALUE, Adr, @JmpMCP, SizeOf(far_jmp), Bytes);
20. ......
21.  
22. function myfunction : integer; stdcall;
23. begin
24.  asm
25.  jmp MyFunc
26.  ...
27.  continue_createfile
28.  end;
29.  WriteProcessMemory(INVALID_HANDLE_VALUE, MbaAdr, @Olddata, SizeOf(OldCode), Bytes);
30.  result:= // сюда я так понимаю надо записать CreateFile(параметры); но как это сделать?
31.             // на ассемблере?
32. end;

 

ничего не понял, чего вы хотите добиться.
алгоритм следующий
1. Из начала перехватываемой функции копируются n-байт (не большее 5, кратное длине команды) в конец функции перехватчика (т.е. в конец динамически выделяемой памяти)
2. В начало функции встраивается jmp MyFunc (E9 XX XX XX XX, где XX XX XX XX адрес MyFunc - Адрес перехватываемой функции + 5) (MyFunc можно сгенерировать и динамически следующего вида

Код (Text):

1. pusha/call MyHandler/popa/скопированный код/jmp XX XX XX XX

, где XX XX XX XX адрес Адрес перехватываемой функции - My Func - 7)
3. В MyHandler функцию можно опознать к примеру так

Код (Text):

1. case ReturnAddress of
2.   MyFunc:; //обработка вызова перехваченной функции
3. end;

Что получится
(перехватываемая функция)
| ^
вызов перенаправленный jmp |
| возврат в середину функции (уже выполнены начальные несколько команд)
v |
(динамически сгенерированная функция перехвата)
^
|
вызов обработчика перехватов
|
v
(MyHandler)

но можно и вместо call вставить код из case, но это уже сложнее описать.

PS я так и не понял зачем восстанавливать начало функции.

 

PowerASM
Если у процесса имеется отладочный порт, то обработка исключений замедляется в сотни/тысячи раз. Если порта нет, то задержки не значительны, не заметны и ими можно пренебречь. В этом случае нет необходимости определения длинны перехватываемой инструкции(что влечёт за собой енуп тредов и их контекстов), необходимо знать лишь начало инструкции. Пишите в память однобайтную инструкцию, которая вызывет исключение(точка останова). В этом случае диспетчер исключений(локально, удалённо как отладчик или менеджер в ядре) получит полный контекст потока на момент останова, что позволяет восстановить состояние камня полностью, также и эмулировать инструкции(дабы не восстанавливать их в памяти).