2

Известен адрес, он записан в переменную ассемблера, пример, unk_7FF67EEFE300. Как сформировать опкоды для такой команды lea rcx, unk_7FF67EEFE300, чтобы затем, по побайтовой сигнатуре уже найти все подобные команды в памяти процесса.

13
  • 1
    lea загружает адрес самой переменной, а не адрес из переменной. проще всего, создайте программу из одной инструкции lea rcx, [0x123456789ABCDEF0] посмотрите опкоды которые сделал на нее ассемблер и просто подставьте нужный вам адрес из переменной на место 123...
    – Mike
    Commented 25 дек. 2017 в 8:28
  • Я смотрю опкод, пример, 4C 8D 0D 01 C6 4F 01, там нет адреса, получается это каким-то образом отсылка к переменной, и я не понимаю как.
    – arvitaly
    Commented 25 дек. 2017 в 8:36
  • А вы ассемблировали именно с фиксированным адресом или перемеренную подставили ? Если переменную, то в инструкции адрес самой переменной, а не тот, что в ней содержится
    – Mike
    Commented 25 дек. 2017 в 8:43
  • Тут мне подсказали, что в x64 в операнде будет смещение, а не сам адрес, вот теперь бы разобраться как его сформировать
    – arvitaly
    Commented 25 дек. 2017 в 8:44
  • Ну чудес не бывает, адрес в любом случае должен быть как то вычислен. специальной базы для этого вроде нет. Если дополнительных префиксов нет, то REX.W префикс (4C) говорит, что используется 64 битный адрес (если программа для long mode) (И расширенный регистр). Вы ассемблировали именно 0x123... и при этом получили 0D 01 и т.п. или все таки что то другое ассемблировали ?
    – Mike
    Commented 25 дек. 2017 в 8:59

1 ответ 1

0

Адресовать конкретную область памяти в инструкции LEA можно множеством способов. И так же множеством способов можно достичь конкретного адреса. Но только в пределах разумного, Intel не предусмотрела в системе команд 64-битного режима возможности обратиться по произвольному 64-битному адресу, указанному непосредственно в команде. Обращаться можно только по произвольному адресу, находящемуся в регистре или по 32-битному смещению, относительно какого либо 64-битного регистра (а так же суммы 2х регистров с умножением одного из них на 1,2,4,8).

Описание правил кодирования инструкций можно посмотреть тут, а так же разъяснить некоторые непонятные после прочтения вики моменты, тут

Для начала вы должны определиться где у вас в программе храниться база, относительно которой можно задать такое 32-битное смещение, что бы достичь нужного адреса. В комментариях вы привели пример команды 4C 8D 0D 01 C6 4F 01, она декодируется следующим образом:

4C REX-префикс: WRXB=1100. W=1 используются 64-битные операнды.
                           R=1 первый бит поля modrm.reg
8D OPCODE инструкции LEA
0D modrm-байт: mod=00 reg=001 rm=101
   первый операнд в lea - регистр,
   rex.r-modrm.reg=1.001 - регистр R9
   rex.b-modrm.rm =0.101 - RIP+disp32
014FC601 - смещение относительно регистра RIP

Итого вы привели пример команды LEA R9, [RIP+0x014FC601]. Если вы хотите сделать LEA RCX,... так же относительно регистра RIP, то ваша команда будет отличаться только одним битом в REX-префиксе, он будет равен 0x48. Но далеко не факт, что исследуемая вами программа будет адресовать нужную область именно относительно RIP, а следовательно все поля могут быть совершенно иными и смещение может рассчитываться относительно другого регистра.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.