Переписывание кода с ASM на C++. небольшая функция.

Сейчас на форуме: _MBK_, Adler (+4 невидимых)

Посл.ответ	Сообщение
vuliad Ранг: 1.4 (гость) Активность: 0=0 Статус: Участник	Создано: 10 апреля 2011 03:23 · Личное сообщение · #1 С помощью IDA Pro исследую одно приложенице и мне нужно выдрать оттуда небольшую функцию, но вот совсем нехватает знаний C++ и ASM. Это не вся функция, но пока я бьюсь вот над таким куском: Code: CreateHash proc near ; CODE XREF: sub_783F20+28p var_4= dword ptr -4 arg_0= dword ptr 8 arg_4= dword ptr 0Ch arg_8= dword ptr 10h push ebp mov ebp, esp push ecx push ebx mov ebx, [ebp+arg_0] mov [ebp+var_4], ecx mov al, bl mov cl, 9Dh imul cl xor edx, edx push esi mov esi, 86Dh mov byte ptr [ebp+arg_0+3], al test ebx, ebx jle short loc_783E50 mov eax, [ebp+arg_4] sub eax, [ebp+arg_8] ... Методику выбрал простую - смотрю значения всех регистров в IDA Pro, пишу код в C++, смотрю уже свою программку через туже IDA Pro и вижу большие расхождения.. Вот так вызывается она в исходном приложении: Code: mov ecx, [ebp+login_length] mov [edi+ebx], eax mov eax, [ebp+arg_8] push eax push ebx ; ïàðîëü push ecx mov ecx, esi call CreateHash Значения параметров: eax=Stack[00001094]:0018F4C4 Stack[00001094]:0018F4C4 db 0 Stack[00001094]:0018F4C5 db 0 .... Stack[00001094]:0018F4C9 db 0 Stack[00001094]:0018F4CA db 0 .... ebx=Stack[00001094]:0018F5AC Stack[00001094]:0018F5AC db 37h ; 7 Stack[00001094]:0018F5AD db 37h ; 7 Stack[00001094]:0018F5AE db 3Bh ; ; Stack[00001094]:0018F5AF db 0E8h ; ø Stack[00001094]:0018F5B0 db 9Ch ; Ü Stack[00001094]:0018F5B1 db 96h ; Ö Stack[00001094]:0018F5B2 db 74h ; t Stack[00001094]:0018F5B3 db 1 Stack[00001094]:0018F5B4 db 0C8h ; L Stack[00001094]:0018F5B5 db 16h Stack[00001094]:0018F5B6 db 74h ; t Stack[00001094]:0018F5B7 db 1 Stack[00001094]:0018F5B8 db 0CCh ; ¦ .... eсx=00000006 В исходном приложении после выполнения: sub eax, [ebp+arg_8] eax становится равен 000000E8. У меня он равен чему угодно только не этому значению. Пишу в QT(win32-gcc - фактически - mingw32) на С++ c использованием ASM с параметрами QMAKE_CXXFLAGS += -masm=intel фактически в приложение я подую на вход "77" (остальное.. мусор?) ecx это strlen("77")+4 eax это неизвестно что(может ключ) но вообщем равен он нулям. Code: #include <stdio.h> int xasm = 0x123; // 0x123 - просто чтобы понять, что что-то поменялось int createHash(int length,char login, char* key_f) { __asm(".intel_syntax noprefix\t\n"); // Да я пытаюсь вставить кусок ASM, чтобы он у меня заработал.. это же возможно да? __asm("mov ebp, esp"); __asm("mov ebx, [ebp+8]"); __asm("mov [ebp-4], ecx"); __asm("mov al, bl"); __asm("mov cl, 0x9d"); __asm("imul cl"); __asm("xor edx,edx"); __asm("mov esi, 0x86d"); __asm("mov byte ptr [ebp+8+3],al"); __asm("test ebx,ebx"); //__asm("jle short loc_783E50"); __asm("mov eax,[ebp+0x0C]"); __asm("sub eax,[ebp+0x10]"); __asm("mov _xasm, eax"); } int* main() { char login[]="77"; char f_key[]={0x00,0x00}; createHash(6,login,f_key); printf( "xasm = %x\n", xasm); return 0; } У меня складывается полное ощущение, что я просто неправильно объявляю функцию и аргументы, неправильно их передаю, но множество комбинаций не дало должного результата.. получал в итоге 0x10,0x20,0x8, а нужно, чтобы eax был равен 000000E8. Буду рад за любую помощь.

Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 10 апреля 2011 09:20 · Личное сообщение · #2 В сях соглашение о вызове по дефолту cdecl, а нужно stdcall. \| Сообщение посчитали полезным: tomac
Veliant Ранг: 301.4 (мудрец), 194thx Активность: 0.17↘0.01 Статус: Участник	Создано: 10 апреля 2011 09:58 · Поправил: Veliant · Личное сообщение · #3 Code: mov eax, [ebp+arg_4] sub eax, [ebp+arg_8] Полагаю это оптимизация компилятора. На самом деле код считает длину последовательности в eax, эдакий sizeof() Начало функции на C может выглядеть так Code: { length = (((length & 0xFF)*9Dh) << 24) \| (length & 0xFFFFFF); if ( length > 0 ) { } }
Promix_17 Ранг: 37.1 (посетитель), 11thx Активность: 0.03↘0 Статус: Участник	Создано: 10 апреля 2011 10:46 · Личное сообщение · #4 Если не получается, попробуй Hex-Rays для IDA Pro.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 10 апреля 2011 10:52 · Личное сообщение · #5 в ecx-this, скорее всего первым reintepret_cast идет. Произведние последнего байта и 0x9D в Арг.0 обратно идет. Если Hex-rays кривой код сгенерит, проще одной асм вставкой скопировать себе.
Vintersorg Ранг: 15.5 (новичок), 6thx Активность: 0.01=0.01 Статус: Участник	Создано: 11 апреля 2011 01:20 · Поправил: Vintersorg · Личное сообщение · #6 По-моему, какая-то ерунда у опа. Полная. vuliad пишет: В исходном приложении после выполнения: sub eax, [ebp+arg_8] eax становится равен 000000E8. У меня он равен чему угодно только не этому значению. Внутри функции createHash у тебя от второго аргумента, переданного этой функции (адрес массива login) отнимается третий (адрес массива f_key). Результат вычитания зависит от того, как и где компилятор расместил в памяти массивы (а он вообще не обязан размещать в памяти два последовательно объявленных массива друг за другом). И ты уверен, что оригинальной функции вторым и третим аргументами передаются именно адреса массивов, а не значения из них? Потому что странное какое-то действие - вычитать из адреса одного массива адрес другого. Кроме того, я не вижу, где у тебя в коде выделяется память под локальную переменную var_4 (адрес ebp-4). И да, в ecx, конечно, передается this. Veliant пишет: Полагаю это оптимизация компилятора. На самом деле код считает длину последовательности в eax, эдакий sizeof() Кстати да, может быть. Хотя длина обычно высчитывается на стадии компиляции и вставляется в код в виде константы. А вообще, подобные ассемблерные вставки - мина замедленного действия. Хочешь использовать выдранный код без модификации, переходи на VC и используй "голые" функции ( директива __declspec ( naked ) )
crypto Ранг: 188.1 (ветеран), 419thx Активность: 0.14↘0 Статус: Участник	Создано: 11 апреля 2011 08:45 · Личное сообщение · #7 vuliad Может целиком всю функцию выложите? А так по крохам собирать - сначала вопросы будут по одному куску, потом - по другому... Да и анализировать всю функцию будет гораздо проще.

Для печати