• 1632阅读
  • 3回复

0.asm-call与jmp机器码取地址计算 [复制链接]

上一主题 下一主题
离线啊冲
 

只看楼主 倒序阅读 使用道具 楼主  发表于: 2016-03-02


1.CALL立即数

CALL后面跟一个立即数,也就是32位偏移量时,机器码为 0XE8 后面的32位立即数是偏移量.
偏移量的计算: 目标偏移地址 减 CALL 指令后的下一条指令的地址
如下:



[cpp] view plain copy

  1. 804f891c e887391700 call nt!KdInitSystem (8066c2a8)  
  2. 804f8921 e8fc3d1700 call nt!KdpRestoreAllBreakpoints (8066c722)  

==>
804f891c+1取地址为偏移量:*804f891d = 00173987
804f891c +5=804f8921 为 CALL 指令后的下一条指令的地址
所以8066c2a8的由来是:804f8921 +00173987 = 8066c2a8
假定i = 804f891c,有以下公式可以得到:
addr = (i+5)+*(PULONG)(i+1);// addr即call 后调用的函数,8066c2a8


2.CALL [内存地址]

机器码是0XFF15 后面跟的是内存地址.
如下:




[cpp] view plain copy
  1. kd> # ff15  
  2. nt!PspCreateProcess+0x5da:  
  3. 805c8066 ff1500874d80    call    dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d8700)]  
  4. kd> ln 804d8700  
  5. (804d8700)   nt!_imp_HalRequestSoftwareInterrupt   |  (804d8704)   nt!_imp_KeAcquireInStackQueuedSpinLock  
  6. Exact matches:  
  7.     nt!_imp_HalRequestSoftwareInterrupt = <no type information>  
这个比较简单:
假定i = 804f8935 ,
如果*(i)=0xff&&*(i+1)=0×15
则addr = *(PULONG)(i+2)

3. call far [内存地址]

机器码是0XFF1D 后面跟的是内存地址.和2一样





4.JMP 立数数【0xE9】Near Jump(近跳转)

机器码是0xE9,操作和1一样


[cpp] view plain copy

  1. 804f89ad e91e900400 jmp nt!KiAcquireSpinLock (805419d0)  
  2. 804f89b2 cc int 3  

计算:804f89b2 + 0004901e=805419d0


5.JMP 立数数【0xEb】Short Jump(短跳转)

机器码是0xEb,操作和1一样(但后面是一个字节!)



[cpp] view plain copy

  1. 804f8964 eb05 jmp nt!KdPowerTransition+0×29 (804f896b)  
  2. 804f8966 e827720400 call nt!KdD0Transition (8053fb92)  
  3. 计算:804f8966 + 05 = 804f896b  


假定i = 804f8964 ,有以下公式可以得到:
addr = (i+5)+*(PUCHAR)(i+1);// addr即call 后调用的函数,804f896b



6.JMP 内存地址

机器码是 0XFF25 后面跟的是内存地址


[cpp] view plain copy

  1. 804f904f ff250c914d80 jmp dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d910c)]  



7.JMP FAR 内存地址

机器地址是 0XFF2D,和6一样


善者 慈悲心常在 无怨无恨 以苦为乐
默认压缩密码www.hifyl.com
文件分享密码问题:http://www.hifyl.com/read-htm-tid-4444.html
离线im86165507

只看该作者 沙发  发表于: 2016-03-03
离线v2680267313

只看该作者 板凳  发表于: 2016-04-30
用户被禁言,该主题自动屏蔽!
离线trader110

只看该作者 地板  发表于: 03-12
快速回复
限100 字节
如果您在写长篇帖子又不马上发表,建议存为草稿
 
上一个 下一个