изменение адреса в инструкции push после изменения exe в hex - PullRequest
Новая
       9

изменение адреса в инструкции push после изменения exe в hex

1 голос
/ 20 октября 2010

работает на windows 7, 32bit home pro

Я создал очень простое приложение в несколько строк в Visual Studio 2008, скомпилированное и связанное со стандартными библиотеками в режиме выпуска в исполняемый файл test.exe.

Код в c выглядит следующим образом: 

char* test = "h";
int main()
{
    _asm 
    {
        push 0xFEEDBACC;
    }
    MessageBoxA(0,test,test,0);
}

, что приводит к следующему машинному коду и соответствующей сборке, как показано в VS2008 (адреса перебазированы ниже, обычный начальный виртуальный адрес 0x4001000) 

char* test = "h";
int main()
{
    _asm 
    {
        push 0xFEEDBACC;
00261000 68 CC BA ED FE   push        0FEEDBACCh 
    }
    MessageBoxA(0,test,test,0);
00261005 6A 00            push        0    
00261007 68 F4 20 26 00   push        offset string "h" (2620F4h) 
0026100C 68 F4 20 26 00   push        offset string "h" (2620F4h) 
00261011 6A 00            push        0    
00261013 FF 15 A4 20 26 00 call        dword ptr [__imp__MessageBoxA@16 (2620A4h)] 
}

Теперь вместо вызова MessageBox, я хочу вместо этого нажать следующую строку «h» сразу после нажатия 0, поэтому с помощью hexedit я ищу раздел, содержащий FF15A420 ... и перезаписываю его, чтобы он стал 

90 68 CC BA ED FE

Теперь, если я открою исполняемый файл в IDA бесплатно, я увижу следующее в моем разделе .text: 

.text:00401000                 push    0FEEDBACCh
.text:00401005                 push    0
.text:00401007                 push    offset unk_4020F4
.text:0040100C                 push    offset unk_4020F4
.text:00401011                 push    0FFFFFF90h
.text:00401013                 nop
.text:00401014                 push    0FEEDBACCh
.text:00401019                 retn

пока все выглядит хорошо, я вижу в 0x401014 мое новое push-утверждение.

Теперь, если я отлаживаю exe-файл в IDA free внезапно, я вижу изменения в моем коде (см. Ниже), push 0FEEDBACC становится push 0FFA4BACC , и я не могу понять, почему первые 2 байта изменены. 

.text:00F71000 push    0FEEDBACCh
.text:00F71005 push    0
.text:00F71007 push    offset unk_F720F4
.text:00F7100C push    offset unk_F720F4
.text:00F71011 push    0FFFFFF90h
.text:00F71013 nop
.text:00F71014 push    0FFA4BACCh  // im puzzled!

Может кто-нибудь объяснить, что здесь происходит и почему номер, на который я нажимаю, изменяется? Я попытался изменить начальный физический байт этого адреса (подозревая какую-то проблему с выравниванием), но, похоже, это не имело значения.

Спасибо

skimon

1 Ответ

3 голосов
/ 20 октября 2010

База изображений была также изменена между двумя последними экранами.

Я думаю, что он только что был перемещен (раньше был адрес): dword в 0x15: A4 20 26 00 указывает на IAT, поэтому после перемещения его старшее слово (байты 0x17 0x18) будет изменено добавлением

0x00F7 - 0x0040 = 0x00B7 к нему.

Попробуйте отключить рандомизацию на основе изображений (или просто удалите перемещения).

...