【汇编技术】函数式汇编popad的实现解析

haishifu · 发表于 2019-1-29 14:31:24

要做到一个函数式popad（也就是用一个函数来实现popad）不是很容易的事
比如这个函数命名为 popad()

但call你这个 popad() 时，栈压入了返回地址，
你不可能直接在函数里直接popad 因为你得让eip指向调用处的下一句代码
你也不可能直接跳转到返回地址，因为你用了popad后所有寄存器会被改变包括esp,ebp，你不能找到原本的返回地址在哪个位置
所以我们得不改变任何寄存器，却能正常的使用popad  并且找到返回地址  并跳转到返回地址处

在逻辑原理上我们可以在写代码时预留一段空指令比如5字节  置入代码{144,144,144,144,144} 可以通过写预留代码成跳转到返回地址来实现
但是这是不可行的，因为代码段内存受保护，是不可写的
总的来说就是我们需要动态写一块内存，把返回调用处的处理代码写进去，并让它执行，因为我们一开始并不知道调用处的返回地址是什么，也不能改变使用popad后的任何寄存器的状态。

既然代码段内存无法写入，那我们是不是得向系统申请一段内存？
其实不需要，那样更麻烦
而且，还有一块闲置的内存，也是非常重要的内存是已经分配好的：栈

先看看偏移地址和绝对地址之间的转换：

偏移地址=绝对地址-call指令所在地址-5
绝对地址=call指令所在地址+5+偏移地址
上面两条计算规则是针对与4字节指针跳转，如 call：0xE8  和  jmp:0xE9

置入定位代码用od跟踪看看

QQ截图20190129125701.png

来到我们两个 call的地方
QQ截图20190129125949.png

先清0 等下再看看 pushad()的效果 esp：0019FCE8
QQ截图20190129132803.png

压入成功，esp：0019FCC8
QQ截图20190129133004.png

在f8 看看 popad()效果
QQ截图20190129133323.png

恢复成功，很完美，下面一步一步分析其原理。

看看动态执行效果

来到函数内部，返回地址在栈顶
返回地址被压入.png

这是我们自己的代码

mov esp,ebp
pop ebp
mov eax,dword ptr ss:[esp]
sub esp,0x190
mov ecx,eax
sub ecx,esp
sub ecx,0xC
mov dword ptr ss:[esp],0x194C481
mov dword ptr ss:[esp+0x4],0xE9610000
mov dword ptr ss:[esp+0x8],ecx
jmp esp

***********************************
mov esp,ebp
pop ebp

用于平掉编译器开的栈帧，也可以用leave

mov eax,dword ptr ss:[esp]
将返回地址放到eax，因为popad将从栈弹到寄存器，所以这时候是可以不保存随意改变寄存器也不影响

sub esp,0x190
将栈指针esp 弄成我们的内存指针，不一定要0x190,写入代码后不要覆盖到栈顶就好，只是考虑到我一般喜欢写栈顶往上的几个字节，预留多一点好，不然覆盖了自己的数据就不好了。

mov ecx,eax //用ecx计算偏移地址

sub ecx,esp    //ecx=eax=[esp],也就是说ecx是返回地址，我们要跳到这，偏移地址=绝对地址-call指令所在地址-5。我们这里减去的是栈代码的起始地址，还没有计算jmp指令的位置

sub ecx,0xC  //这是什么意思？不是减去5？  因为刚刚减去的是代码的起始地址，还得减去起始地址与jmp指令所在位置的距离。那jmp指令在哪？
**********************

mov dword ptr ss:[esp],0x194C481
mov dword ptr ss:[esp+0x4],0xE9610000
mov dword ptr ss:[esp+0x8],ecx

//往[esp]，写入0x194C481，再往[esp+0x4]写入0xE9610000，最后往[esp+0x8]写入ecx，ecx也就是计算后的偏移地址

0x194C481 是什么。栈有个特殊性，字节顺序是颠倒的，所以写入的是颠倒后的，再颠倒过来就是0x81C49401  字节集就是：{129,196,148,1}  汇编代码就是：ADD esp,0x194
刚刚不是sub 0x190 吗？为什么  现在要add 0x194? 因为当时栈顶是返回地址，而返回地址不需要的，我们得add 0x194把栈顶的返回地址干掉，
也就是说执行完这步的时候，栈上就是原本pushad存进去的了。那么我们怎么跳回去？
关键是后边写入的，0xE9610000  和 ecx，ecx就是刚刚计算出来的偏移地址
0xE9610000反转就是0x000061E9,  这是什么意思？其实，前面4个0  是补充上面ADD esp,0x194 的2个字节0，也就是说ADD esp,0x194这句代码是6字节
真正意义上，这里写入的代码是0x61E9,也就是  popad , jmp

这时候刚刚计算偏移地址为什么减去0xc就知道了 add esp,0x194  popad 这里是7字节 jmp指令所在位置就是代码起始位置(esp)+7,  所以减去7再减去5,  就等于  减去0xc (12)

再写入ecx 最后就是（popad  jmp ecx里边的值）的意思

我们的栈代码就是 add esp,0x194
                        popad
                        jmp ecx的值（计算后的偏移地址）

****************
jmp esp  //跳到栈code执行。

最后完美popad并完美返回到调用处。

总结：栈code的代码得是反转后再写入，代码跟着的数值(前面用的ecx)不需要反转，因为本身就是反转的。

popad.e (3.8 KB, 下载次数: 40)