Question

我一直试着变形引擎。我开始尝试分析操作码汇编指令，但它似乎没有给我任何东西。我在函数中寻找的指令是MOV。为什么它不返回任何东西，即使它们在函数中？

#include <iostream>
#include <Windows.h>

using namespace std;


struct OPCODE
{
    unsigned short usSize;
    PBYTE pbOpCode;
    bool bRelative;
    bool bMutated;
};


namespace MOVRegisters
{
    enum MovRegisters
    {
        EAX = 0xB8,
        ECX,
        EDX,
        EBX,
        ESP,
        EBP,
        ESI,
        EDI
    };
}



bool __fastcall bIsMOV(PBYTE pInstruction)
{
    if (*pInstruction == MOVRegisters::EAX || *pInstruction == MOVRegisters::ECX || *pInstruction == MOVRegisters::EDX || *pInstruction == MOVRegisters::EBX ||
        *pInstruction == MOVRegisters::ESP || *pInstruction == MOVRegisters::EBP || *pInstruction == MOVRegisters::ESI || *pInstruction == MOVRegisters::EDI)
        return true;
    else
        return false;
}

void pCheckByte(PVOID pFunction, PBYTE pFirstFive)
{
    if (*pFirstFive == 0x0)
        memcpy(pFirstFive, pFunction, 5);
    else
        memcpy(pFunction, pFirstFive, 5);

    PBYTE pCurrentByte = (PBYTE)pFunction;
    while (*pCurrentByte != 0xC3 && *pCurrentByte != 0xC2 && *pCurrentByte != 0xCB && *pCurrentByte != 0xCA)
    {
        OPCODE* pNewOp = new OPCODE();
        pNewOp->pbOpCode = pCurrentByte;

        if (bIsMOV(pCurrentByte))
        {
            cout << "mov instr.\n";
        }
    }
}

void function()
{
    int eaxVal;
    __asm
    {
        mov eax, 5
        add eax, 6
        mov eaxVal, eax
    }
    printf("Testing %d\n", eaxVal);
}

int main()
{
    PBYTE pFirstFive = (PBYTE)malloc(5);
    RtlZeroMemory(pFirstFive, 5);


    while (true)
    {
        pCheckByte(function, pFirstFive);
        system("pause");
    }
    return 0;
}

Answer 1

您是否看过function()的反汇编？第一条指令可能不会成为mov eax, 5，因为MSVC可能会在具有内联asm的函数中生成堆栈帧。（push ebp / mov ebp, esp）。

您的代码是否实际循环遍历函数的字节？你有一个循环，但它每次迭代都会泄漏内存。唯一出现的是pNewOp，因此它是只写的。

    OPCODE* pNewOp = new OPCODE();
    pNewOp->pbOpCode = pCurrentByte;

请注意，遍历所有字节会产生误报，因为0xb3或其他任何可能作为非操作码字节发生。（例如，ModR / M或SIB字节，或即时数据。）同样，您可能会在0xC3，...扫描ret instructions时出现误报。再看一下使用原始机器代码进行反汇编。

编写自己的代码来解析x86机器代码似乎是很多不必要的工作;有很多工具已经有了这样的库。

此外，在调试器中单步执行C ++代码以查看其功能。

查找操作码汇编指令

1 个答案: