反彙編patch學習

技術 · 發表 2019-04-17 17:07:08

摘要：編寫一個測試程式這個程式沒有什麼意義，在IDA中把puts函式patch成nop用於新增我們自己的指令肯定有更好的方法，但是這裡只是為了練習 visual studio 2019 preview x64 release編譯 #include<stdio.h> #...

編寫一個測試程式

這個程式沒有什麼意義，在IDA中把puts函式patch成nop用於新增我們自己的指令

肯定有更好的方法，但是這裡只是為了練習

visual studio 2019 preview x64 release編譯

#include<stdio.h>
#include<stdlib.h>
#include<string.h>

int main(int argc, char** argv) {
char a;
system("pause");
a = getchar();

puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");
puts("nop me");

putchar(a);
system("pause");
return 0;
}

patch過程

新增nop

IDA開啟，根據字串找到我們自己的邏輯

把一部分puts("nop me") patch成nop，類似這樣，在這些nop中開始表演

新增特別的彙編指令

這裡現在一堆nop中新增如下的兩條指令，來分析一下

call $+5也就是跳轉到pop rax，看起來和直接跳到下一條指令沒什麼區別
但實際上，call會把下一條要執行的指令地址壓棧，這裡也就是把0x140001035壓棧
再pop rax，這時rax就是0x140001035了
調整rax的位置，加上8以後jmp rax，準備跳到原本的指令中
這裡rax==0x140001035+8==0x14000103C
patch到這裡，儲存一下，即附件中的patched1
在IDA中重新開啟，除錯發現，jmp rax即將跳轉到jmp指令的之後的某條指令上

新增垃圾指令
為了讓反彙編引擎"出錯"，我們可以在中間即將跳過的nop中，新增特殊的垃圾指令