Известен адрес, он записан в переменную ассемблера, пример, unk_7FF67EEFE300
.
Как сформировать опкоды для такой команды lea rcx, unk_7FF67EEFE300
, чтобы затем, по побайтовой сигнатуре уже найти все подобные команды в памяти процесса.
1 ответ
Адресовать конкретную область памяти в инструкции LEA можно множеством способов. И так же множеством способов можно достичь конкретного адреса. Но только в пределах разумного, Intel не предусмотрела в системе команд 64-битного режима возможности обратиться по произвольному 64-битному адресу, указанному непосредственно в команде. Обращаться можно только по произвольному адресу, находящемуся в регистре или по 32-битному смещению, относительно какого либо 64-битного регистра (а так же суммы 2х регистров с умножением одного из них на 1,2,4,8).
Описание правил кодирования инструкций можно посмотреть тут, а так же разъяснить некоторые непонятные после прочтения вики моменты, тут
Для начала вы должны определиться где у вас в программе храниться база, относительно которой можно задать такое 32-битное смещение, что бы достичь нужного адреса. В комментариях вы привели пример команды 4C 8D 0D 01 C6 4F 01
, она декодируется следующим образом:
4C REX-префикс: WRXB=1100. W=1 используются 64-битные операнды.
R=1 первый бит поля modrm.reg
8D OPCODE инструкции LEA
0D modrm-байт: mod=00 reg=001 rm=101
первый операнд в lea - регистр,
rex.r-modrm.reg=1.001 - регистр R9
rex.b-modrm.rm =0.101 - RIP+disp32
014FC601 - смещение относительно регистра RIP
Итого вы привели пример команды LEA R9, [RIP+0x014FC601]
. Если вы хотите сделать LEA RCX,...
так же относительно регистра RIP, то ваша команда будет отличаться только одним битом в REX-префиксе, он будет равен 0x48. Но далеко не факт, что исследуемая вами программа будет адресовать нужную область именно относительно RIP, а следовательно все поля могут быть совершенно иными и смещение может рассчитываться относительно другого регистра.
lea rcx, [0x123456789ABCDEF0]
посмотрите опкоды которые сделал на нее ассемблер и просто подставьте нужный вам адрес из переменной на место 123...4C 8D 0D 01 C6 4F 01
, там нет адреса, получается это каким-то образом отсылка к переменной, и я не понимаю как.