取子程序地址 支持有字节集,自定义数据类型参数,API

福仔

总所周知,E在取子程序地址的时候,如果参数中有非基础数据类型,编译时不能通过语法检测
现在弄的这个支持语法检测,因为都是正规的

先说说思路

调用子程序的时候会把返回地址传递到子程序中,[ebp+4] 存放的就是执行完这个子程序后跳转的地址
先执行个子程序,取到返回地址,相当于取到了EIP执行的下一条指令,玩汇编的都知道,EIP存放的总是下一个指令的地址


执行完子程序,取到了EIP的地址,然后就从当前的EIP逐字节遍历,遇到call (字节"E8") 的时候就是调用子程序了
E在编译后,返回() 后面的代码一样会编译出去,其他语言不知道,没看过
然后利用返回,不执行子程序,并且还能计算子程序地址

计算子程序地址大概是这么实现

把EIP存放到EAX里,EIP不能直接访问,只能执行一个子程序后取[EBP+4]
EAX自增1,逐字节遍历
把[EAX] 存放到ECX
如果ECX的低8位,CL = E8 就是走到call的位置了
此时,EAX存放的就是调用这个子程序的指令地址,对应的指令应该是   CALL XXXX
call占一个字节,后面跟着偏移
把[EAX+1] 存到ECX,此时ECX记录的是偏移
在计算一下子程序的实际地址 LEA EAX, [EAX+ECX+5] EAX是 call XXXX 指令的位置 call XXX 占5个字节,计算出偏移后取他的地址
取到的地址就是子程序的实际地址
语言表达能力不足,懂的还是看汇编代码吧


mov eax,[ebp+4]
loop1:
inc eax
mov ecx,dword ptr ds:[eax]
cmp cl,0E8h
jnz loop1


mov ecx,dword ptr ds:[eax+1]
lea ebx,dword ptr ds:[eax+ecx+5]
mov eax,ebx
leave
ret 4

取带字节集参数的子程序地址,带自定义数据类型的地址,这些都没问题,也都能正常调用
现在还不支持数组参数,有空在去看看吧

取子程序地址.e (8.14 KB, 下载次数: 206)

2018-7-10 16:10 上传

点击文件名下载附件

quary888

真的屌炸天了  

点点丶滴滴

谢谢大佬分享 支持支持

学习中123

感谢分享，很给力！~

yiyi111122

感谢分享，很给力！~

莫泽才

感谢分享，很给力！~

网络注册络员

大神

1515130599

  真厉害  我现在很多汇编语句也整不明白, 但是看到这个 发现自己特别需要这个 很棒 这个应该拿去参加开源大赛的

dljy

学习了：：：：：

qmdqaq

学习了

安静？高冷？

路过路过，感谢分享