masm rip + FindFileData

Сейчас на форуме: _MBK_ (+7 невидимых)

Посл.ответ	Сообщение
ProTeuS Ранг: 172.2 (ветеран) Активность: 0.07↘0 Статус: Участник	Создано: 14 сентября 2009 00:45 · Личное сообщение · #1 рипнул код, в котором имеется функа работы со структурой struct _WIN32_FIND_DATAA FindFileData. на си писать аналог вопрос 2 минут, но хочу решить именно на масме вопрос, т.к. это семпл самой менее объемной функи, а будут встречаться более сложные, в логике которых разбирать будет некогда и реверсить код на высокоуровневый язык, то хотелось бы просто корректно переобъявить все структуры, внести изменения в код и иметь сразу готовый рабочий код, не разбираясь в его полезной нагрузке. оригинал из ида Code: FindFileData = _WIN32_FIND_DATAA ptr -254h FileName = byte ptr -114h hFindFile = dword ptr -0Ch var_8 = dword ptr -8 lpString = dword ptr 8 push ebp mov ebp, esp sub esp, 258h push ebx push esi push edi push [ebp+lpString] ; lpString2 mov edi, ds:lstrcpyA lea eax, [ebp+FileName] push eax ; lpString1 call edi ; lstrcpyA push [ebp+lpString] ; lpString call ds:lstrlenA lea ebx, [ebp+eax+FileName] push offset inc_ ; ".inc" push* ebx ; lpString1 call edi ; lstrcpyA lea eax, [ebp+FindFileData] push eax ; lpFindFileData lea eax, [ebp+FileName] push eax ; lpFileName call ds:FindFirstFileA оригинал из хекс-рейз Code: void result; // eax@1 CHAR* v2; // ebx@1 int* v3; // eax@1 CHAR FileName[264]; // [sp+150h] [bp-114h]@1 struct _WIN32_FIND_DATAA FindFileData; // [sp+10h] [bp-254h]@1 HANDLE hFindFile; // [sp+258h] [bp-Ch]@1 signed int v7; // [sp+25Ch] [bp-8h]@2 lstrcpyA(FileName, lpString); v3 = lstrlenA(lpString); v2 = &FileName[v3]; lstrcpyA(&FileName[v3], ".inc"); result = FindFirstFileA(FileName, &FindFileData); поскольку возникала ошибка какая-то при инклуде windows.inc и не хотеслоь из-за одной структуры подключать целый модуль, сразу объявил только структуру Code: _WIN32_FIND_DATAA struc ; (sizeof=0x140, standard type) dwFileAttributes dd ? ftCreationTime FILETIME <> ftLastAccessTime FILETIME <> ftLastWriteTime FILETIME <> nFileSizeHigh dd ? nFileSizeLow dd ? dwReserved0 dd ? dwReserved1 dd ? cFileName db 260 dup(?) cAlternateFileName db 14 dup(?) _padding db 2 dup(?) _WIN32_FIND_DATAA ends объявил все как в оригинале: FindFileData = _WIN32_FIND_DATAA ptr -254h ssFileName = byte ptr -114h hFindFile = dword ptr -0Ch var_8 = dword ptr -8 ttlpString = dword ptr 8 в итоге на прологе функции получил 254h буфер с нулями, далее только код объявил далее так: LOCAL FindFileData: _WIN32_FIND_DATAA ssFileName = byte ptr -114h hFindFile = dword ptr -0Ch var_8 = dword ptr -8 ttlpString = dword ptr 8 получаю вот что в дизасме компиленого модуля Code: FindFileData= _WIN32_FIND_DATAA ptr* -140h lpString= dword ptr 8 push ebp mov ebp, esp add esp, 0FFFFFEC0h push ebp mov ebp, esp sub esp, 258h push ebx push esi push edi push [ebp+lpString] ; lpString2 mov edi, offset lstrcpyA lea eax, [ebp+FindFileData.cFileName] push eax ; lpString1 call edi ; lstrcpyA push [ebp+lpString] ; lpString call lstrlenA lea ebx, [eax+ebp-114h] push offset inc_ ; "*.inc" с переменными распознаными лажа, локал порушила стек, балансировка на 140h не помагла, код из-за лишнего пролога Filename везде стал указывать не на буфер, а на поле записи FindData и т.д. как корректно объявить структуру и\или что вписать на прологе чтобы не трогать код и оставить функционал 1 в 1? ----- HOW MUCH BLOOD WOULD YOU SHED TO STAY ALIVE

SLV Ранг: 309.8 (мудрец), 21thx Активность: 0.17↘0 Статус: Участник	Создано: 14 сентября 2009 05:07 · Личное сообщение · #2 > поскольку возникала ошибка какая-то при инклуде windows.inc и не хотеслоь из-за одной структуры подключать целый модуль, сразу объявил только ничего страшного не будет если и подключишь, оно же ничего не линкует с собой, простые дефайны и структуры. ----- Shalom ebanats!
DaRKSiDE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 14 сентября 2009 09:06 · Поправил: DaRKSiDE · Личное сообщение · #3 Если не хочешь подключать windows.inc (хотя тоже не понимаю почему?) SLV пишет: ничего страшного не будет если и подключишь, оно же ничего не линкует с собой, простые дефайны и структуры. SLV прав на все 100%. то надо было хотя бы просто скопипастить из него структуру к себе в исходник... Code: WIN32_FIND_DATA STRUCT dwFileAttributes DWORD ? ftCreationTime FILETIME <> ftLastAccessTime FILETIME <> ftLastWriteTime FILETIME <> nFileSizeHigh DWORD ? nFileSizeLow DWORD ? dwReserved0 DWORD ? dwReserved1 DWORD ? cFileName BYTE MAX_PATH dup(?) cAlternate BYTE 14 dup(?) WIN32_FIND_DATA ENDS FILETIME STRUCT dwLowDateTime DWORD ? dwHighDateTime DWORD ? FILETIME ENDS ----- aLL rIGHTS rEVERSED!
ProTeuS Ранг: 172.2 (ветеран) Активность: 0.07↘0 Статус: Участник	Создано: 14 сентября 2009 09:12 · Личное сообщение · #4 если не понятно, по моему посту, то по причине ошибок и для экономии размера выходного бинаря, так и было сделано, только тобой приведеная структура от мною объявленой немного разниться, попробую с твоей проверить через пару часов ----- HOW MUCH BLOOD WOULD YOU SHED TO STAY ALIVE
DaRKSiDE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 14 сентября 2009 09:48 · Личное сообщение · #5 Хм.. забавно, но я присунул эту структуру к себе в исходник и посмотрел под оллей... Code: 00401000 55 PUSH EBP 00401001 8BEC MOV EBP,ESP 00401003 81C4 C0FEFFFF ADD ESP,-140 Тот же хрен... Очень странно что ида выдала -254h Возможно это структура наследованная от стандартной WIN32_FIND_DATA? Даже название отличается - WIN32_FIND_DATAA... или я гоню Вот нашел описание той структуры что у тебя в дизасме code.snapstream.com/api/bm11/SnapStream.Util.WIN32_FIND_DATAAMembers.html Сравни... может есть различие? ----- aLL rIGHTS rEVERSED!
Coderess Ранг: 355.4 (мудрец), 55thx Активность: 0.32↘0 Статус: Uploader 5KRT	Создано: 14 сентября 2009 12:37 · Личное сообщение · #6 Мне больше нравится с tmg ripper'ом работать, чем с идой, когда дело касается рипа. Быть может стоит попробовать? ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes
DaRKSiDE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 14 сентября 2009 13:11 · Личное сообщение · #7 TMG Ripper Studio хорошая весч... жаль дальше не дописывается... Рипает она достаточно корректно... в большинстве случаев ----- aLL rIGHTS rEVERSED!
ProTeuS Ранг: 172.2 (ветеран) Активность: 0.07↘0 Статус: Участник	Создано: 14 сентября 2009 20:29 · Личное сообщение · #8 что никто на масме не работал с заданой структурой и чтобы были в функе локальные переменные? прошу ткнуть сорцем уж хоть каким-то рабочим. вот например рабочие, но без локальных переменных www.wasm.ru/article.php?article=1001031 forum.sources.ru/showtopic=101954 ----- HOW MUCH BLOOD WOULD YOU SHED TO STAY ALIVE
DaRKSiDE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 14 сентября 2009 21:09 · Личное сообщение · #9 Вот глянь... 7769_14.09.2009_CRACKLAB.rU.tgz - ftree.rar ----- aLL rIGHTS rEVERSED!

Для печати