Question

我想将函数memory（void）转储到字节数组（unsinged char[]）。另外，虚函数应指向字节数组，并执行虚函数。

我要转储的功能：

void CallMessageBoxExA()
{
    message = "ManualMessageBoxExA";
    caption = "Caption";
    pAddr = GetProcAddress(GetModuleHandle(L"User32.dll"), "MessageBoxExA");

    __asm // Call MessageBoxA
    {
        push dword ptr 0 //--- push languageID: 0
        push dword ptr 0 //--- push style: 0
        push dword ptr caption //--- push DWORD parameter (caption)
        push dword ptr message //--- push DWORD parameter (message)
        push dword ptr 0 //--- push hOwner: 0
        mov eax, pAddr
        call eax //-- call address of the function, which is currently in EAX
    }
}

倾倒内存：

string DumpMemory(void *pAddress, int maxLength)
{
    string result = "";
    const unsigned char * p = reinterpret_cast< const unsigned char *>(pAddress);
    cout << "Memory location: 0x" << hex << (unsigned int)p << endl;
    for (unsigned int i = 0; i < maxLength; i++) {
        string code = "";
        stringstream ss;
        ss << hex << int(p[i]);
        ss >> code;
        result += code;
    }
    return result;
}

当查看内存位置DumpMemory打印到控制台时，ollydbg会在此位置显示JMP指令：

CPU Disasm
Address   Hex dump          Command                                  Comments
00281627   $-/E9 044C0000   JMP CallMessageBoxExA

这是正确的内存位置，还是我必须遵循JMP？

内存位置跳转导致：

CPU Disasm
Address   Hex dump          Command                                  Comments
00286230  /$  55            PUSH EBP                                 ; ASM.CallMessageBoxExA(void)
00286231  |.  8BEC          MOV EBP,ESP
00286233  |.  81EC C0000000 SUB ESP,0C0
00286239  |.  53            PUSH EBX
0028623A  |.  56            PUSH ESI
0028623B  |.  57            PUSH EDI
0028623C  |.  8DBD 40FFFFFF LEA EDI,[EBP-0C0]
00286242  |.  B9 30000000   MOV ECX,30
00286247  |.  B8 CCCCCCCC   MOV EAX,CCCCCCCC
0028624C  |.  F3:AB         REP STOS DWORD PTR ES:[EDI]
0028624E  |.  C705 A8562900 MOV DWORD PTR DS:[message],OFFSET 00291D ; ASCII "ManualMessageBoxExA"
00286258  |.  C705 AC562900 MOV DWORD PTR DS:[caption],OFFSET 00291D ; ASCII "Caption"
00286262  |.  8BF4          MOV ESI,ESP
00286264  |.  68 041E2900   PUSH OFFSET 00291E04                     ; ASCII "MessageBoxExA"
00286269  |.  8BFC          MOV EDI,ESP
0028626B  |.  68 D01D2900   PUSH OFFSET 00291DD0                     ; /ModuleName = "User32.dll"
00286270  |.  FF15 00602900 CALL DWORD PTR DS:[<&KERNEL32.GetModuleH ; \KERNEL32.GetModuleHandleW
00286276  |.  3BFC          CMP EDI,ESP
00286278  |.  E8 5BB2FFFF   CALL 002814D8                            ; [_RTC_CheckEsp
0028627D  |.  50            PUSH EAX                                 ; |hModule
0028627E  |.  FF15 04602900 CALL DWORD PTR DS:[<&KERNEL32.GetProcAdd ; \KERNEL32.GetProcAddress
00286284  |.  3BF4          CMP ESI,ESP
00286286  |.  E8 4DB2FFFF   CALL 002814D8                            ; [_RTC_CheckEsp
0028628B  |.  A3 B0562900   MOV DWORD PTR DS:[pAddr],EAX
00286290  |.  6A 00         PUSH 0
00286292  |.  6A 00         PUSH 0
00286294  |.  FF35 AC562900 PUSH DWORD PTR DS:[caption]
0028629A  |.  FF35 A8562900 PUSH DWORD PTR DS:[message]
002862A0  |.  6A 00         PUSH 0
002862A2  |.  A1 B0562900   MOV EAX,DWORD PTR DS:[pAddr]
002862A7  |.  FFD0          CALL EAX
002862A9  |.  5F            POP EDI
002862AA  |.  5E            POP ESI
002862AB  |.  5B            POP EBX
002862AC  |.  81C4 C0000000 ADD ESP,0C0
002862B2  |.  3BEC          CMP EBP,ESP
002862B4  |.  E8 1FB2FFFF   CALL 002814D8                            ; [_RTC_CheckEsp
002862B9  |.  8BE5          MOV ESP,EBP
002862BB  |.  5D            POP EBP
002862BC  \.  C3            RETN

将伪函数指向字节数组：

void(*func_ptr)();
func_ptr = (void(*)()) &foo[0]; // make function point to foo[]
(*func_ptr)(); // Call the function

这是使伪函数指向字节数组的正确方法吗？

此时功能的结束到了什么时候？我应该只检查不同的返回操作码（C3 - ＆gt;返回呼叫者附近，CB - ＆gt;返回呼叫者，...）？

PS：一个简单的（例如不是很复杂的）解决方案是优选的，因为我是C ++的新手。

编辑：我想在Windows环境中实现这一目标。

Answer 1

您需要将“复制”功能存储在使用VirtualAllocEx分配的内存块上。在现代操作系统上，每个页面上都有一点声明它的内容是否可执行。这用于最小化缓冲区溢出的损害。默认情况下，您的内存不可执行。如果您使用VirtualAllocEx保护模式PAGE_EXECUTE_READWRITE，您将能够写入内存块，然后从中执行。

关于“何时到达功能结束”的问题，这实际上是无法回答的。您可以寻找常见的模式，但x86缺乏识别函数“结束”的方法。

Answer 2

看起来你需要跟随跳跃。当您按照跳转时，您看到的代码与您上面编译的代码相匹配。

此外，您的DumpMemory正在使用pAddressIn的地址。您的函数正在传递一个名为pAddress的变量。这是一个拼写错误，或者您引用了在其他地方声明的变量。我假设您打算使用pAddress。

您分配的内存可能需要特殊权限才能运行。按原样，使用原始功能数据分配的内存将标记为“数据”。 “数据执行保护”可能会因您的环境而停止此操作。

转储函数的内存

2 个答案: