【蠢新学汇编】截取 子程序代码 字节集片段

笨来无一悟

调试输出(截取代码 (到整数 (&子程序1)))

为什么用到整数?
因为参数是字节集或者自定义类型的时候需要一些骚操作才能取出指针 通常是整数 然后 子程序指针到整数 比 整数到子程序指针 顺手

具体有什么用?

我是拿来看看怎么样用自己手写的汇编结合易语言生成的汇编 优化运行效率 或者解决一些正常途径不好解决的问题

  

子程序名	返回值类型	公开	备 注
截取代码	字节集
参数名	类 型	参考	可空	数组	备 注
截取地址	整数型

变量名	类 型	静态	数组	备 注
截取长度	整数型
包装函数	逻辑型

截取长度 ＝ 0
包装函数 ＝ 假
置入代码 ({ 81, 82, 83 })
置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })
如果真 (包装函数)
置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })
置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })
置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })
置入代码 ({ 91, 90, 89 })
返回 (指针到字节集 (截取地址, 截取长度))

.版本 2<br /> <br /> .子程序 截取代码, 字节集<br /> .参数 截取地址, 整数型<br /> .局部变量 截取长度, 整数型<br /> .局部变量 包装函数, 逻辑型<br /> <br /> 截取长度 ＝ 0<br /> 包装函数 ＝ 假<br /> 置入代码 ({ 81, 82, 83 })<br /> 置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })<br /> .如果真 (包装函数)<br />     置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })<br /> .如果真结束<br /> 置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })<br /> 置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })<br /> 置入代码 ({ 91, 90, 89 })<br /> 返回 (指针到字节集 (截取地址, 截取长度))

不兼容 无参数 RET 不兼容 LEAVE 易语言自动生成的格式为 MOV ESP,EBP ; POP EBP
需要全兼容的可以自行扩充判断分支 寻找 {201} 紧跟 {194} 再后面的字节转整数可以被4整除 leave方便 代价是特征码更容易被误判

  

子程序名	返回值类型	公开	备 注
截取代码	字节集
参数名	类 型	参考	可空	数组	备 注
截取地址	整数型

变量名	类 型	静态	数组	备 注
截取长度	整数型
包装函数	逻辑型

截取长度 ＝ 0
包装函数 ＝ 假
置入代码 ({ 81, 82, 83 })
' PUSH ECX
' PUSH EDX
' PUSH EBX
置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })
' XOR EAX,EAX
' MOV ECX,85
' MOV EAX ,DWORD [EBP+8]
' MOV AL ,BYTE [EAX]
' MOVZX EAX, AL
' SUB ECX,EAX
' MOV DWORD [EBP-8],ECX
如果真 (包装函数)
置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })
' MOV ECX,DWORD [EBP+8]
' 入口:
' INC ECX
' MOV AL,BYTE [ECX]
' CMP AL,232
' JNE 入口
' MOV EAX,DWORD [ECX+1]
' LEA EBX,DWORD [ECX+EAX+5]
' MOV DWORD [EBP+8],EBX
置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })
' MOV ECX,DWORD [EBP+8]
' 出口:
' INC ECX
' CMP BYTE [ECX],139
' JNE 出口
' CMP BYTE [ECX+1],229
' JNE 出口
' CMP BYTE [ECX+2],93
' JNE 出口
' CMP BYTE [ECX+3],194
' JNE 出口
' XOR EDX,EDX
' XOR EAX,EAX
' MOV AL,BYTE [ECX+4]
' MOV EBX,4
' DIV EBX
' CMP EDX,0
' JNE 出口
置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })
' SUB ECX,DWORD [EBP+8]
' ADD ECX,6
' MOV DWORD [EBP-4],ECX
置入代码 ({ 91, 90, 89 })
' POP EBX
' POP EDX
' POP ECX
返回 (指针到字节集 (截取地址, 截取长度))

.版本 2<br /> <br /> .子程序 截取代码, 字节集<br /> .参数 截取地址, 整数型<br /> .局部变量 截取长度, 整数型<br /> .局部变量 包装函数, 逻辑型<br /> <br /> 截取长度 ＝ 0<br /> 包装函数 ＝ 假<br /> 置入代码 ({ 81, 82, 83 })<br /> ' PUSH ECX<br /> ' PUSH EDX<br /> ' PUSH EBX<br /> 置入代码 ({ 49, 192, 185, 85, 0, 0, 0, 139, 69, 8, 138, 0, 15, 182, 192, 41, 193, 137, 77, 248 })<br /> ' XOR EAX,EAX<br /> ' MOV ECX,85<br /> ' MOV EAX ,DWORD [EBP+8]<br /> ' MOV AL ,BYTE [EAX]<br /> ' MOVZX EAX, AL<br /> ' SUB ECX,EAX<br /> ' MOV DWORD [EBP-8],ECX<br /> .如果真 (包装函数)<br />     置入代码 ({ 139, 77, 8, 65, 138, 1, 60, 232, 117, 249, 139, 65, 1, 141, 92, 1, 5, 137, 93, 8 })<br />     ' MOV ECX,DWORD [EBP+8]<br />     ' 入口:<br />     ' INC ECX<br />     ' MOV AL,BYTE [ECX]<br />     ' CMP AL,232<br />     ' JNE 入口<br />     ' MOV EAX,DWORD [ECX+1]<br />     ' LEA EBX,DWORD [ECX+EAX+5]<br />     ' MOV DWORD [EBP+8],EBX<br /> .如果真结束<br /> 置入代码 ({ 139, 77, 8, 65, 128, 57, 139, 117, 250, 128, 121, 1, 229, 117, 244, 128, 121, 2, 93, 117, 238, 128, 121, 3, 194, 117, 232, 49, 210, 49, 192, 138, 65, 4, 187, 4, 0, 0, 0, 247, 243, 131, 250, 0, 117, 213 })<br /> ' MOV ECX,DWORD [EBP+8]<br /> ' 出口:<br /> ' INC ECX<br /> ' CMP BYTE [ECX],139<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+1],229<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+2],93<br /> ' JNE 出口<br /> ' CMP BYTE [ECX+3],194<br /> ' JNE 出口<br /> ' XOR EDX,EDX<br /> ' XOR EAX,EAX<br /> ' MOV AL,BYTE [ECX+4]<br /> ' MOV EBX,4<br /> ' DIV EBX<br /> ' CMP EDX,0<br /> ' JNE 出口<br /> 置入代码 ({ 43, 77, 8, 131, 193, 6, 137, 77, 252 })<br /> ' SUB ECX,DWORD [EBP+8]<br /> ' ADD ECX,6<br /> ' MOV DWORD [EBP-4],ECX<br /> 置入代码 ({ 91, 90, 89 })<br /> ' POP EBX<br /> ' POP EDX<br /> ' POP ECX<br /> 返回 (指针到字节集 (截取地址, 截取长度))

ctry78985

感谢分享

jtucar

支持开源~！感谢分享

光影魔术

感谢分享源码

396384183

感谢分享，很给力！~

一指温柔

支持开源~！感谢分享

baitso

支持开源~！感谢分享

renhe2018

比较厉害的代码段啊。

kyo9766

直接贴代码，好评的啊，感谢分享

year1970

感谢分享