Компиляция куска asm кода с последующей вставкой в exe

Сейчас на форуме: Adler, asfa, bartolomeo (+8 невидимых)

Посл.ответ	Сообщение
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 16:05 · Личное сообщение · #1 Всем доброго времени суток! Столкнулся со следующим заданием. Имеется два exe файла разных версий. exe первой версии уже пропатчен(имеется и оригинальный первой версии). exe второй версии чист. Необходимо перенести патч с первой версии на вторую. Немного поработав: Собрал все адреса заменяемых байт в первой версии. (4 байта заменено),(41 дописано в пустую область). Сравнил оригиналы первой версии и второй версии - адреса и сами значения частично различаются. После перевода обеих файлов в asm через IDA стало ясно, что процедуры различаются лишь разными адресами и адресами следующих переходов (jmp). Перевел в asm так же пропатченный exe(первой версии который). (4 байта) - ссылка на действия (41 байта) - которые после отсылаются на адрес последующий 4 байтам(после них). Я переписал часть кода(где 4 байта) под новую версию(сменил адрес, так как пустая область смещена в новой версии), и (41 байт) - в новой версии тоже переписал пару ссылок, так как их адреса были смещены в новой версии. По сути, код сам адаптирован и готов для работы в новой версии. Но вот я никогда раньше не работал со вставками в готовый код. Как мне получить из первой части кода - 4 байта и из второй части кода - 41 байт. Может нужно выделить необходимую часть, сохранить в asm... а дальше? Заранее спасибо!

schokk_m4ks1k Ранг: 31.0 (посетитель), 70thx Активность: 0.14↘0 Статус: Участник	Создано: 14 июня 2012 16:10 · Поправил: schokk_m4ks1k · Личное сообщение · #2 залей два файла и выложи сюда или в личку кинь! попробуй сделать Search and Replace Patch со смещением байт! может поможет) Vovan666 может просто я не понял что он хочет) Vovan666 пишет: Задолбал уже своими "выложи" ты задолбал уже это писать после моего поста! тебе в кайф?
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 14 июня 2012 16:20 · Поправил: Vovan666 · Личное сообщение · #3 schokk_m4ks1k пишет: попробуй сделать Search and Replace Patch со смещением байт! может поможет) чё за бред. Fileschokk_m4ks1k пишет: залей два файла и выложи сюда или в личку кинь! Задолбал уже своими "выложи", один хрен не поможешь! Да и человеку больше теория нужна. Firex4 берешь OllyDbg и в ней пишешь свой код. после чего пкм->Copy to Executable->All Modifications->пкм-Save File Если код уже написан, то поможет плагин Multilmate Assembler. Так же любители досовских мордочек используют Hiew. \| Сообщение посчитали полезным: Firex4, hlmadip, ZaZa, TLN, plutos
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 17:19 · Поправил: Firex4 · Личное сообщение · #4 Vovan666, Не могу я разобраться в интерфейсе OllyDbg Установил плагин, открываю свой exe, открываю плагин Multilmate Assembler, вставляю в него измененный код с IDA, жму Assemble - результата нет, лишь ошибка(ожидался адрес). Вот код с IDA: Code: .text:00468700 sub_468700 proc near ; CODE XREF: sub_42AA50+1Ep .text:00468700 ; sub_449A00+9Fp ... .text:00468700 jmp sub_690430 .text:00468700 sub_468700 endp .text:00468700 .text:00468705 ; --------------------------------------------------------------------------- .text:00468705 .text:00468705 loc_468705: .text:00468705 mov ecx, eax .text:00468707 sub ecx, ds:8F4E18h .text:0046870D cmp ecx, 80h .text:00468713 jle short loc_468729 .text:00468715 push offset aExe_err_client ; "EXE_ERR_CLIENT_CMD_OVERFLOW" .text:0046871A push 1 .text:0046871C call loc_4FD330 .text:00468721 mov eax, ds:8F4E14h .text:00468726 add esp, 8 .text:00468729 .text:00468729 loc_468729: ; CODE XREF: .text:00468713j .text:00468729 add eax, 1 .text:0046872C mov ds:8F4E14h, eax .text:00468731 and eax, 7Fh .text:00468734 shl eax, 0Ah .text:00468737 add eax, 8F4E1Ch .text:0046873C push eax .text:0046873D mov eax, [esp+8] .text:00468741 call sub_509100 .text:00468746 pop ecx .text:00468747 retn .text:00468747 ; --------------------------------------------------------------------------- .text:00468748 align 10h .text:00468750 .text:00468750 ; --------------- S U B R O U T I N E --------------------------------------- 00468700 - 00468704 - измененный код, который должен быть равным 4 байта. Как это дело правильно подгрузить в Multilmate Assembler? P.S. Также чувствую я, что заменить придется не 4 байта, а около 5. Пришлось добавить метку loc_468705, а в дефолтном коде последующий код начинался вроде как с 468704.
hlmadip Ранг: 58.1 (постоянный), 42thx Активность: 0.06↘0.01 Статус: Участник	Создано: 14 июня 2012 17:26 · Поправил: hlmadip · Личное сообщение · #5 как я понимаю, адреса уже адаптированны под непатченный exe. Тогда грузишь в Olly свой exe, вбиваешь ручками это Code: .text:00468700 jmp sub_690430 Проходишь по адресу джампа, ручками вбиваешь необходимый код, а потом Vovan666 пишет: после чего пкм->Copy to Executable->All Modifications->пкм-Save File \| Сообщение посчитали полезным: Firex4
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 19:34 · Личное сообщение · #6 hlmadip, Сделал все как и сказали, но выходит небольшая помеха. Во первых - работы exe нарушается. Во вторых - при открытии exe в IDA замененные куски куда имеют немного другой вид. Вот примеры: v1.0 Первый кусок(4 байта). Code: .text:00468660 .text:00468660 ; --------------- S U B R O U T I N E --------------------------------------- .text:00468660 .text:00468660 ; Attributes: thunk .text:00468660 .text:00468660 sub_468660 proc near ; CODE XREF: sub_42AAC0+1Ep .text:00468660 ; sub_4499D0+9Fp ... .text:00468660 jmp sub_68F100 .text:00468660 sub_468660 endp .text:00468660 .text:00468665 ; --------------------------------------------------------------------------- .text:00468665 ; START OF FUNCTION CHUNK FOR sub_68F100 .text:00468665 Второй кусок(41 байт). Code: .text:0068F100 .text:0068F100 ; --------------- S U B R O U T I N E --------------------------------------- .text:0068F100 .text:0068F100 .text:0068F100 sub_68F100 proc near ; CODE XREF: sub_468660j .text:0068F100 .text:0068F100 arg_0 = dword ptr 8 .text:0068F100 .text:0068F100 ; FUNCTION CHUNK AT .text:00468665 SIZE 00000043 BYTES .text:0068F100 .text:0068F100 nop .text:0068F101 nop .text:0068F102 nop .text:0068F103 nop .text:0068F104 nop .text:0068F105 push eax .text:0068F106 mov eax, [esp+8] .text:0068F10A .text:0068F10A loc_68F10A: ; CODE XREF: sub_68F100+18j .text:0068F10A cmp byte ptr [eax], 0 .text:0068F10D jz short loc_68F11A .text:0068F10F cmp byte ptr [eax], 3Bh .text:0068F112 jnz short loc_68F117 .text:0068F114 mov byte ptr [eax], 0Dh .text:0068F117 .text:0068F117 loc_68F117: ; CODE XREF: sub_68F100+12j .text:0068F117 inc eax .text:0068F118 jmp short loc_68F10A .text:0068F11A ; --------------------------------------------------------------------------- .text:0068F11A .text:0068F11A loc_68F11A: ; CODE XREF: sub_68F100+Dj .text:0068F11A pop eax .text:0068F11B mov eax, ds:8F3D8Ch .text:0068F120 jmp loc_468665 .text:0068F120 sub_68F100 endp .text:0068F120 v2.0(после моих вставок) Вставлял построчно. Первый кусок кода(4 байта). Code: .text:00468700 ; --------------- S U B R O U T I N E --------------------------------------- .text:00468700 .text:00468700 ; Attributes: thunk .text:00468700 .text:00468700 sub_468700 proc near ; CODE XREF: sub_42AA50+1Ep .text:00468700 ; sub_449A00+9Fp ... .text:00468700 jmp sub_690430 .text:00468700 sub_468700 endp .text:00468700 .text:00468705 ; --------------------------------------------------------------------------- .text:00468705 mov ecx, eax Прошу заметить, метка loc_468705 - отсутствует, а идет продолжение кода(в отличии от v1.0 - там метка есть, на которую потом и возвращается). Второй кусок кода(41 байт). Code: .text:00690430 ; --------------- S U B R O U T I N E --------------------------------------- .text:00690430 .text:00690430 .text:00690430 sub_690430 proc near ; CODE XREF: sub_468700j .text:00690430 .text:00690430 arg_0 = dword ptr 8 .text:00690430 .text:00690430 nop .text:00690431 nop .text:00690432 nop .text:00690433 nop .text:00690434 nop .text:00690435 push eax .text:00690436 mov eax, [esp+arg_0] .text:0069043A .text:0069043A loc_69043A: ; CODE XREF: sub_690430+18j .text:0069043A cmp byte ptr [eax], 0 .text:0069043D jz short loc_69044A .text:0069043F cmp byte ptr [eax], 3Bh .text:00690442 jnz short loc_690447 .text:00690444 mov byte ptr [eax], 0Dh .text:00690447 .text:00690447 loc_690447: ; CODE XREF: sub_690430+12j .text:00690447 inc eax .text:00690448 jmp short loc_69043A .text:0069044A ; --------------------------------------------------------------------------- .text:0069044A .text:0069044A loc_69044A: ; CODE XREF: sub_690430+Dj .text:0069044A pop eax .text:0069044B mov eax, ds:8F3D8Ch .text:00690450 jmp sub_468700 .text:00690450 sub_690430 endp .text:00690450 .text:00690450 ; -- Тут по сути различий нет. P.S. Может я что нибудь опять забыл? заранее спасибо.
Vintersorg Ранг: 15.5 (новичок), 6thx Активность: 0.01=0.01 Статус: Участник	Создано: 14 июня 2012 19:42 · Поправил: Vintersorg · Личное сообщение · #7 Code: .text:00690450 jmp sub_468700 разве не на 468705 переход должен быть? Кстати, я для вставки своего кода в экзешники использую FASM с макросами Grom PE. Крайне удобно даже для очень больших вставок. Рекомендую. http://board.flatassembler.net/topic.php?t=8876 http://board.flatassembler.net/topic.php?t=8744 \| Сообщение посчитали полезным: Firex4
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 19:48 · Личное сообщение · #8 Vintersorg, Вот черт! Спасибо вам огромное!
hlmadip Ранг: 58.1 (постоянный), 42thx Активность: 0.06↘0.01 Статус: Участник	Создано: 14 июня 2012 19:52 · Личное сообщение · #9 Было бы неплохо сами файлы увидеть, а то я что-то запутался Не правильно я посоветовал. .text:00468700 jmp sub_690430 ведет к отдельной процедуре, никак не связанной с text:00468705 loc_468705: Поэтому вопервых меняете в оригинальном exe этот переход: .text:00468700 jmp sub_690430 Потом ищете, где должна быть процедура text:00468705 loc_468705: и меняете её в соответствии с вашим патчем
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 19:55 · Личное сообщение · #10 hlmadip, Там получается интересная вещь. Самой таковой процедуры в оригинале text:00468705 loc_468705 нету. Строка jmp sub_690430 заменяет некоторую функцию и ведет к дописанной процедуре, которая в свою очередь выполняет замененное действие и выполняет еще несколько, а затем вызывает процедуру, которая должна была образоваться сразу за окончанием вызывающей. Подправил адрес, пойду проверю :3
hlmadip Ранг: 58.1 (постоянный), 42thx Активность: 0.06↘0.01 Статус: Участник	Создано: 14 июня 2012 20:02 · Поправил: hlmadip · Личное сообщение · #11 Тоесть код sub_690430 тоже дописанный/изменённый, раз он ссылается на добавленную loc_468705, и вам следует это учесть при патче
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 20:33 · Поправил: Firex4 · Личное сообщение · #12 hlmadip, В результате все получилось верно, в IDA код идентичен(конечно за исключением адресов). Но есть пару вопросов: 1)Почему в первом exe IDA добавляет этот комментарий, а у меня нет: Code: .text:00468665 ; --------------------------------------------------------------------------- .text:00468665 ; START OF FUNCTION CHUNK FOR sub_68F100 2) За что отвечает в OllyDbg(asm)(вторая функция(41 байт)) эта строка? Ничего случаем в ней портировать не нужно было? Code: MOV EAX,DWORD PTR DS:[8F3D8C]
hlmadip Ранг: 58.1 (постоянный), 42thx Активность: 0.06↘0.01 Статус: Участник	Создано: 14 июня 2012 20:36 · Поправил: hlmadip · Личное сообщение · #13 первый вопрос - не знаю второй вопрос в случае MOV EAX,DWORD PTR DS:[8F3D8C], это пересылка dword'а лежащего по адресу 8F3D8C в eax Для разъяснений комманд ассемблера пользуйся гуглом
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июня 2012 20:49 · Личное сообщение · #14 hlmadip, Насколько хватило моего английского - это идет некая запись в указанное место памяти? Видимо и для этого нужно искать новое подходящее место. Надеюсь я не несу сейчас чушь?
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 15 июня 2012 15:21 · Поправил: Firex4 · Личное сообщение · #15 hlmadip, Спасибо большое! Буду корректировать адрес, хотя по правде говоря не могу понять, где его искать. Смещение около 40 байтов, метод тыка надеюсь выручит ;3 P.S. Это случайно не оно? Code: .text:004F3D8C fsub dword ptr [ebx] Так в том и проблема, что адреса 8F3D8C не существует в помине, границы кода - 68F129, после этого ничего нет.
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 15 июня 2012 15:57 · Личное сообщение · #16 Да какие нахрен смещения, школьник херню написал, а ты и повелся. Открываешь старый файл в olly, Search for->All constants->8F3D8C, найдутся все ссылки на 8F3D8C. После чего смотришь их и ищешь похожий код в новом файле. \| Сообщение посчитали полезным: Firex4
Firex4 Ранг: 0.9 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 16 июня 2012 01:09 · Личное сообщение · #17 Vovan666, Все получилось! Спасибо за разъяснения.

Для печати