4.10 x64dbg 反汇编功能的封装

news2024/9/22 15:36:18

LyScript 插件提供的反汇编系列函数虽然能够实现基本的反汇编功能，但在实际使用中，可能会遇到一些更为复杂的需求，此时就需要根据自身需要进行二次开发，以实现更加高级的功能。本章将继续深入探索反汇编功能，并将介绍如何实现反汇编代码的检索、获取上下一条代码等功能。这些功能对于分析和调试代码都非常有用，因此是书中重要的内容之一。在本章的学习过程中，读者不仅可以掌握反汇编的基础知识和技巧，还能够了解如何进行插件的开发和调试，这对于提高读者的技能和能力也非常有帮助。

4.10.1 搜索内存机器码特征

首先我们来实现第一种需求，通过LyScript插件实现搜索内存中的特定机器码，此功能当然可通过scan_memory_all()系列函数实现，但读者希望你能通过自己的理解调用原生API接口实现这个需求，要实现该功能第一步则是需要封装一个GetCode()函数，该函数的作用是读取进程数据到内存中。

其中dbg.get_local_base()用于获取当前进程内的首地址，而通过start_address + dbg.get_local_size()的方式则可获取到该程序的结束地址，当确定了读取范围后再通过dbg.read_memory_byte(index)循环即可将程序的内存数据读入，而ReadHexCode()仅仅只是一个格式化函数，这段程序的核心代码可以总结为如下样子；

# 将可执行文件中的单数转换为 0x00 格式
def ReadHexCode(code):
    hex_code = []

    for index in code:
        if index >= 0 and index <= 15:
            #print("0" + str(hex(index).replace("0x","")))
            hex_code.append("0" + str(hex(index).replace("0x","")))
        else:
            hex_code.append(hex(index).replace("0x",""))
            #print(hex(index).replace("0x",""))

    return hex_code

# 获取到内存中的机器码
def GetCode():
    try:
        ref_code = []
        dbg = MyDebug()
        connect_flag = dbg.connect()
        if connect_flag != 1:
            return None

        start_address = dbg.get_local_base()
        end_address = start_address + dbg.get_local_size()

        # 循环得到机器码
        for index in range(start_address,end_address):
            read_bytes = dbg.read_memory_byte(index)
            ref_code.append(read_bytes)

        dbg.close()
        return ref_code
    except Exception:
        return False

接着则需要读者封装实现一个SearchHexCode()搜索函数，如下这段代码实现了在给定的字节数组中搜索特定的十六进制特征码的功能。

具体而言，函数接受三个参数：Code表示要搜索的字节数组，SearchCode表示要匹配的特征码，ReadByte表示要搜索的字节数。

函数首先获取特征码的长度，并通过一个for循环遍历给定字节数组中的所有可能匹配的位置。对于每个位置，函数获取该位置及其后面SearchCount个字节的十六进制表示形式，并将其与给定的特征码进行比较。如果有一位不匹配，则计数器重置为0，否则计数器加1。如果计数器最终等于特征码长度，则说明已找到完全匹配的特征码，函数返回True。如果遍历完整个数组都没有找到匹配的特征码，则函数返回False。

# 在字节数组中匹配是否与特征码一致
def SearchHexCode(Code,SearchCode,ReadByte):
    SearchCount = len(SearchCode)
    #print("特征码总长度: {}".format(SearchCount))
    for item in range(0,ReadByte):
        count = 0
        # 对十六进制数切片,每次向后遍历SearchCount
        OpCode = Code[ 0+item :SearchCount+item ]
        #print("切割数组: {} --> 对比: {}".format(OpCode,SearchCode))
        try:
            for x in range(0,SearchCount):
                if OpCode[x] == SearchCode[x]:
                    count = count + 1
                    #print("寻找特征码计数: {} {} {}".format(count,OpCode[x],SearchCode[x]))
                    if count == SearchCount:
                        # 如果找到了,就返回True,否则返回False
                        return True
                        exit(0)
        except Exception:
            pass
    return False

有了这两段程序的实现流程，那么完成特征码搜索功能将变得很容易实现，如下主函数中运行后则可搜索进程内search中所涉及到的机器码，当搜索到后则返回一个状态。

if __name__ == "__main__":
    # 读取到内存机器码
    ref_code = GetCode()
    if ref_code != False:
        # 转为十六进制
        hex_code = ReadHexCode(ref_code)
        code_size = len(hex_code)

        # 指定要搜索的特征码序列
        search = ['c0', '74', '0d', '66', '3b', 'c6', '77', '08']

        # 搜索特征: hex_code = exe的字节码,search=搜索特征码,code_size = 搜索大小
        ret = SearchHexCode(hex_code, search, code_size)
        if ret == True:
            print("特征码 {} 存在".format(search))
        else:
            print("特征码 {} 不存在".format(search))
    else:
        print("读入失败")

由于此类搜索属于枚举类，所以搜索效率会明显变低，搜索结束后则会返回该特征值是否存在的一个标志；

4.10.2 搜索内存反汇编特征

而与之对应的，当读者搜索反汇编代码时则无需自行实现内存读入功能，LyScript插件内提供了dbg.get_disasm_code(eip,1000)函数，可以让我们很容易的实现读取内存的功能，如下案例中，搜索特定反汇编指令集，当找到后返回其内存地址；

from LyScript32 import MyDebug

# 检索指定序列中是否存在一段特定的指令集
def SearchOpCode(OpCodeList,SearchCode,ReadByte):
    SearchCount = len(SearchCode)
    for item in range(0,ReadByte):
        count = 0
        OpCode_Dic = OpCodeList[ 0 + item : SearchCount + item ]
        # print("切割字典: {}".format(OpCode_Dic))
        try:
            for x in range(0,SearchCount):
                if OpCode_Dic[x].get("opcode") == SearchCode[x]:
                    #print(OpCode_Dic[x].get("addr"),OpCode_Dic[x].get("opcode"))
                    count = count + 1
                    if count == SearchCount:
                        #print(OpCode_Dic[0].get("addr"))
                        return OpCode_Dic[0].get("addr")
                        exit(0)
        except Exception:
            pass

if __name__ == "__main__":
    dbg = MyDebug()
    connect_flag = dbg.connect()
    print("连接状态: {}".format(connect_flag))

    # 得到EIP位置
    eip = dbg.get_register("eip")

    # 反汇编前1000行
    disasm_dict = dbg.get_disasm_code(eip,1000)

    # 搜索一个指令序列,用于快速查找构建漏洞利用代码
    SearchCode = [
        ["ret", "push ebp", "mov ebp,esp"],
        ["push ecx", "push ebx"]
    ]

    # 检索内存指令集
    for item in range(0,len(SearchCode)):
        Search = SearchCode[item]
        # disasm_dict = 返回汇编指令 Search = 寻找指令集 1000 = 向下检索长度
        ret = SearchOpCode(disasm_dict,Search,1000)
        if ret != None:
            print("指令集: {} --> 首次出现地址: {}".format(SearchCode[item],hex(ret)))

    dbg.close()

如上代码当搜寻到SearchCode内的指令序列时则自动输出内存地址，输出效果图如下所示；

4.10.3 获取上下一条汇编指令

LyScript 插件默认并没有提供上一条与下一条汇编指令的获取功能，笔者认为通过亲自动手封装实现功能能够让读者更好的理解内存断点的工作原理，则本次我们将亲自动手实现这两个功能。

在x64dbg中，软件断点的实现原理与通用的软件断点实现原理类似。具体来说，x64dbg会在程序的指令地址处插入一个中断指令，一般是int3指令。这个指令会触发一个软件中断，从而让程序停止执行，等待调试器处理。在插入中断指令之前，x64dbg会先将这个地址处的原始指令保存下来。这样，当程序被调试器停止时，调试器就可以将中断指令替换成原始指令，让程序恢复执行。

为了实现软件断点，x64dbg需要修改程序的可执行代码。具体来说，它会将指令的第一个字节替换成中断指令的操作码，这样当程序执行到这个指令时就会触发中断。如果指令长度不足一个字节，x64dbg会将这个指令转换成跳转指令，跳转到另一个地址，然后在这个地址处插入中断指令。

此外在调试器中设置软件断点时，x64dbg会根据指令地址的特性来判断是否可以设置断点。如果指令地址不可执行，x64dbg就无法在这个地址处设置断点。另外，由于软件断点会修改程序的可执行代码，因此在某些情况下，设置过多的软件断点可能会影响程序的性能。

读者注意：实现获取下一条汇编指令的获取，需要注意如果是被命中的指令，则此处应该是CC断点占用一个字节，如果不是则正常获取到当前指令即可。

  • 1.我们需要检查当前内存断点是否被命中，如果没有命中则说明，此处需要获取到原始的汇编指令长度，然后与当前eip地址相加获得。
  • 2.如果命中了断点，则此处又会两种情况，如果是用户下的断点，则此处调试器会在指令位置替换为CC断点，也就是汇编中的init停机指令，该指令占用1个字节，需要eip+1得到。而如果是系统断点，EIP所停留的位置，则我们需要正常获取当前指令地址，此处调试器没有改动汇编指令，仅仅只下了异常断点。
from LyScript32 import MyDebug

# 获取当前EIP指令的下一条指令
def get_disasm_next(dbg,eip):
    next = 0

    # 检查当前内存地址是否被下了绊子
    check_breakpoint = dbg.check_breakpoint(eip)

    # 说明存在断点，如果存在则这里就是一个字节了
    if check_breakpoint == True:

        # 接着判断当前是否是EIP，如果是EIP则需要使用原来的字节
        local_eip = dbg.get_register("eip")

        # 说明是EIP并且命中了断点
        if local_eip == eip:
            dis_size = dbg.get_disasm_operand_size(eip)
            next = eip + dis_size
            next_asm = dbg.get_disasm_one_code(next)
            return next_asm
        else:
            next = eip + 1
            next_asm = dbg.get_disasm_one_code(next)
            return next_asm
        return None

    # 不是则需要获取到原始汇编代码的长度
    elif check_breakpoint == False:
        # 得到当前指令长度
        dis_size = dbg.get_disasm_operand_size(eip)
        next = eip + dis_size
        next_asm = dbg.get_disasm_one_code(next)
        return next_asm
    else:
        return None

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")

    next = get_disasm_next(dbg,eip)
    print("下一条指令: {}".format(next))

    prev = get_disasm_next(dbg,4584103)
    print("下一条指令: {}".format(prev))

    dbg.close()

如上代码则是显现设置断点的核心指令集，读者可自行测试是否可读取到当前指令的下一条指令，其输出效果如下图所示；

读者注意：获取上一条汇编指令时，由于上一条指令的获取难点就在于，我们无法确定当前指令的上一条指令到底有多长，所以只能用笨办法，逐行扫描对比汇编指令，如果找到则取出其上一条指令即可。

from LyScript32 import MyDebug

# 获取当前EIP指令的上一条指令
def get_disasm_prev(dbg,eip):
    prev_dasm = None
    # 得到当前汇编指令
    local_disasm = dbg.get_disasm_one_code(eip)

    # 只能向上扫描10行
    eip = eip - 10
    disasm = dbg.get_disasm_code(eip,10)

    # 循环扫描汇编代码
    for index in range(0,len(disasm)):
        # 如果找到了,就取出他的上一个汇编代码
        if disasm[index].get("opcode") == local_disasm:
            prev_dasm = disasm[index-1].get("opcode")
            break

    return prev_dasm

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")

    next = get_disasm_prev(dbg,eip)
    print("上一条指令: {}".format(next))

    dbg.close()

运行后即可读入当前EIP的上一条指令位置处的反汇编指令，输出效果如下图所示；

原文地址

https://www.lyshark.com/post/b62cec0e.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/739905.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

redis缓存简介

redis缓存简介

1、为什么使用redis 分析:博主觉得在项目中使用redis&#xff0c;主要是从两个角度去考虑:性能和并发。当然&#xff0c;redis还具备可以做分布式锁等其他功能&#xff0c;但是如果只是为了分布式锁这些其他功能&#xff0c;完全还有其他中间件(如zookpeer等)代替&#xff0c;并…
阅读更多...
中国地图数据可视化制作，python的pyecharts模块读取excel可视化，

中国地图数据可视化制作，python的pyecharts模块读取excel可视化，

数据格式如下&#xff1a; import pandas as pd from pyecharts import options as opts from pyecharts.charts import Map from pyecharts.globals import ChartType# 读取Excel数据 data pd.read_excel(C:\\Users\\Administrator\\Desktop\\国内数据.xlsx)# 创建地图实例 m…
阅读更多...
C语言itoa转化为二进制

C语言itoa转化为二进制

C语言itoa函数常常用于把整型转换为字符数组&#xff1b;最常用的是十进制的转换&#xff1b; 也可以用于获取一个数的二进制&#xff1b; 在C语言中 3&51&#xff1b;&是按位与&#xff1b; 先输出3&5&#xff1b; 再分别输出3和5的二进制看一下&#xff1b; …
阅读更多...
Shader 基础之 Unity Shader概念

Shader 基础之 Unity Shader概念

目录 目录 Shader compilation Conditionals in shaders Different types of conditionals Switch code branch at runtime Branching in shaders Static branching How to use static branching Dynamic branching How to use dynamic branching Shader variants …
阅读更多...
选读SQL经典实例笔记04_日期运算（上）

选读SQL经典实例笔记04_日期运算（上）

1. 年月日加减法 1.1. DB2 1.1.1. sql select hiredate -5 day as hd_minus_5D,hiredate 5 day as hd_plus_5D,hiredate -5 month as hd_minus_5M,hiredate 5 month as hd_plus_5M,hiredate -5 year as hd_minus_5Y,hiredate 5 year as hd_plus_5Yfrom empwhere dept…
阅读更多...
【计算机网络】第三章 数据链路层（虚拟机与局域网）

【计算机网络】第三章 数据链路层（虚拟机与局域网）

文章目录 3.9 以太网交换机自学习和转发桢的流程3.10 以太网交换机的生成树协议STP3.11 虚拟局域网3.11.1 虚拟局域网VLAN概述3.11.2 虚拟局域网VLAN的实现机制 3.9 以太网交换机自学习和转发桢的流程 以太网交换机的自学习和转发数据帧的流程如下&#xff1a; 自学习&#x…
阅读更多...
Mac中使用命令行来加密压缩zip文档

Mac中使用命令行来加密压缩zip文档

背景 最近需要对一些文件加密&#xff0c;但是Mac上没有找到相应的加密工具&#xff0c;macOS中创建密码保护的压缩 zip 文件很容易并且不需要任何额外附加物或下载。使用命令行的方式处理即可。对压缩包加密之后便意味着有人想要解压缩zip文件时&#xff0c;必须输入正确的密码…
阅读更多...
Layui入门必看：登录注册界面搭建与功能开发解析

Layui入门必看：登录注册界面搭建与功能开发解析

目录 Layui介绍 什么是Layui&#xff1f; Layui入门 Layui登录实例 导入jar 配置 导入Layui 编写公共jsp 编写代码 Layui注册实例 代码实例 Layui介绍 Layui是一款面向前端开发者的轻量级JavaScript库&#xff0c;旨在简化网页开发过程。它提供了丰富的基础UI组件和…
阅读更多...
电气设备漏电保护方式研究

电气设备漏电保护方式研究

摘要&#xff1a;电气设备漏电故障可能对无防范意识人员产生触电危害&#xff0c;轻者灼伤人体接触位置&#xff0c;重者危及人员生命&#xff0c;甚至会产生漏电火花引起火灾&#xff0c;给企业带来不可估计的损失。文中浅谈电气设备漏电危害性及漏电保护方式&#xff0c;意指…
阅读更多...
C++使用rapidjson读写json数据

C++使用rapidjson读写json数据

一、背景 RapidJSON简介及使用_fengbingchun的博客-CSDN博客 rapidjson是腾讯的高效C Json解析器&#xff0c;只有头文件&#xff0c;可跨平台使用 mirrors / Tencent / rapidjson GitCode 二、读数据 使用rapidjson解析和组装json_youyicc的博客-CSDN博客 三、写数据 …
阅读更多...
AES加解密算法强化训练

AES加解密算法强化训练

目标&#xff1a; 使用openssl算一遍&#xff0c;再使用网页在线工具算一遍&#xff0c;看看结果是否一样 构造数据 如何编写一个二进制规律性的文件, 比如你可以编写一个"0123456789abcdef"的文本文件&#xff0c;记得删除换行符 然后用ultraedit打开&#xff0c;…
阅读更多...
常见加密算法介绍

常见加密算法介绍

文章目录 一、背景&#xff1a;二、几种常见的加密算法1. 不可逆加密算法&#xff08;哈希算法&#xff09;&#xff1a;1.1 MD51.1.1 优点&#xff1a;1.1.2 缺点&#xff1a;1.1.3 Demo&#xff1a;1.1.4 案例分析&#xff1a; 1.2 SHA-2561.2.1 Demo&#xff1a;1.2.2 案例分…
阅读更多...
day19三数之和 int *returnSize,int ** returnColumnSizes的理解

day19三数之和 int *returnSize,int ** returnColumnSizes的理解

题目描述 *1.关于参数 int returnSize, int ** returnColumnSizes的理解 具体看这篇文章 [https://blog.csdn.net/m0_52775920/article/details/121461911?spm1001.2014.3001.5502] &#xff08;1&#xff09;*returnSize 的理解 returnSize 返回大小为returnSize的二维数组&…
阅读更多...
代码随想录算法二刷 day49 | 动态规划 之121 买卖股票的最佳时机 122 买卖股票的最佳时机II

代码随想录算法二刷 day49 | 动态规划 之121 买卖股票的最佳时机 122 买卖股票的最佳时机II

day49 121. 买卖股票的最佳时机1.确定dp数组&#xff08;dp table&#xff09;以及下标的含义2.确定递推公式3.dp数组如何初始化4.确定遍历顺序5.举例推导dp数组 122.买卖股票的最佳时机II 121. 买卖股票的最佳时机 题目链接 解题思路&#xff1a; 动规五部曲分析如下&#xf…
阅读更多...
【Linux-Windows】 关于PCI和PCIE接口

【Linux-Windows】 关于PCI和PCIE接口

【Linux-Windows】 关于PCI和PCIE接口 1、背景2、物理外观区别3、其它区别 1、背景 最近在配置电脑主机。 由于要在主机上安装了一块PCI接口的固高控制卡&#xff0c;其系统架构如下图&#xff1a; 使用的PCI接口的固高控制卡外形如下图&#xff1a; 为此&#xff0c;我额外…
阅读更多...
2023-7-10-第十五式命令模式

2023-7-10-第十五式命令模式

&#x1f37f;*★,*:.☆(&#xffe3;▽&#xffe3;)/$:*.★* &#x1f37f; &#x1f4a5;&#x1f4a5;&#x1f4a5;欢迎来到&#x1f91e;汤姆&#x1f91e;的csdn博文&#x1f4a5;&#x1f4a5;&#x1f4a5; &#x1f49f;&#x1f49f;喜欢的朋友可以关注一下&#xf…
阅读更多...
java 代码块

java 代码块

文章目录 代码块的描述静态代码块静态代码块的特点 非静态代码块分析加载顺序 代码块的描述 代码块(或初始化块)的作用&#xff1a; 对Java类或对象进行初始化 代码块(或初始化块)的分类&#xff1a; 一个类中代码块若有修饰符&#xff0c;则只能被static修饰&#xff0c;称为…
阅读更多...
嵌入式_一种非常简单实用的基于GD32的裸机程序框架

嵌入式_一种非常简单实用的基于GD32的裸机程序框架

嵌入式_一种非常简单实用的基于GD32的裸机程序框架 搜索了一下关于GD或ST裸机程序的问题&#xff0c;网上有非常多也非常的例子&#xff0c;但是针对裸机开发的程序框架却比较少&#xff0c;这里简单整理了一下在项目中使用过的一种比较小巧便携的裸机程序框架&#xff08;确切…
阅读更多...
cloud Alibab+nacos+gateway集成swaggerui，统一文档管理(注意点)

cloud Alibab+nacos+gateway集成swaggerui，统一文档管理(注意点)

首先说明&#xff1a;本文只说整合注意点 效果图和功能参考链接 1.使用gateway访问nacos服务&#xff0c;503 在网关服务添加依赖即可解决 <dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-openfeign&…
阅读更多...
1.入门matlab数理统计随机数的产生（matlab程序）

1.入门matlab数理统计随机数的产生（matlab程序）

1.简述 一、常见分布的随机数的产生 随机数是专门的随机试验的结果。在统计学的不同技术中需要使用随机数&#xff0c;比如在从统计总体中抽取有代表性的样本的时候。而matlab直接提供了产生随机数的通用函数&#xff0c;但针对不同的分布&#xff0c;函数形式会有所不同&#…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023