Привет всем, ситуация такая:
есть рандомный кусок кода, например мусор какой нибудь
проге скармливается точка входа на этот мусор, также известен размер мусорного кода
Нужно программно определить, входили ли в этот мусор команды, изменяющие состояние регистра флагов с целью восстановления его в исходное состояние.
Все было бы зашибись, но состояние регистра флагов на момент точки входа в мусор неизвестно
Пока что на ум приходит только распознавание команд как либо влияющих на флаги и вести базу типа
команда - такие то флаги, и на ее основе восстанавливать регистр, но интересно, может кому то в голову придут другие идеи?
с Уважением

| Сообщение посчитали полезным:

> входили ли в этот мусор команды, изменяющие состояние регистра флагов

Обычный дизассемблер + список команд, меняющих флаги (их не так уж и много)

| Сообщение посчитали полезным:

BLiND RAGE пишет:
есть рандомный кусок кода, например мусор какой нибудь
проге скармливается точка входа на этот мусор
Так где же проблема? Сделай первой командой это мусорного кода PUSHF а в конце этого мусорного кода (ты ведь знаешь его размер) сделай POPF.

| Сообщение посчитали полезным:

DrGolova
А еще не забыть про то, что флаги можно изменить и обычным mov, через структуру CONTEXT .
А если она меняется еще не через SetThreadContext, а через SEH фрейм, то как-то уже все не безоблачно выглядит в плане легкости отслеживания

| Сообщение посчитали полезным:

а еще pushf/изменение сохраненных флагов в стеке/popf

| Сообщение посчитали полезным:

DrGolova пишет:
Обычный дизассемблер + список команд, меняющих флаги (их не так уж и много)
я в принципе это и имел ввиду под распознаванием
inferno_mteam пишет:
А еще не забыть про то, что флаги можно изменить и обычным mov, через структуру CONTEXT
нет, таких вариантов точно непридется обрабатывать
Step пишет:
Сделай первой командой это мусорного кода PUSHF а в конце этого мусорного кода (ты ведь знаешь его размер) сделай POPF
восстановление должно происходить только в случае если флаги могли поменяться, причем надо учитывать случаи когда при одних значениях регистров флаг измениться а при других - нет, так как заранее я незнаю их значения

значит буду делать первый вариант, по нему тоже вопрос в догонку, в опкоде нет такого бита который указывает процу будет меняться флаговый регистр или нет? Или придется составлять таблицу команд которые влияют на флаг?

| Сообщение посчитали полезным:

>значит буду делать первый вариант, по нему тоже вопрос в догонку, в опкоде нет такого бита который указывает процу будет меняться флаговый регистр или нет?
Нет
>Или придется составлять таблицу команд которые влияют на флаг?
Да

| Сообщение посчитали полезным:

BLiND RAGE
а что ты такое ковыряешь?

| Сообщение посчитали полезным:

ssx
Да я вообще то не ковыряю а пишу нечто, сам еще незнаю что : )
думаю накидать какойнить более-менее универсальный движ на создание - разгребание мусора, а что получится - там посмотрим

| Сообщение посчитали полезным:

А как насчёт lahf/sahf?

| Сообщение посчитали полезным:

BLiND RAGE пишет:
причем надо учитывать случаи когда при одних значениях регистров флаг измениться а при других - нет, так как заранее я незнаю их значения
А может все таки постараться узнать значение регистра флагов? Например, выполнением кода с EP. Да и помоему тут дизассемблером не обойтись. Например, inc eax - ты не знаешь значение eax, а может оно равно -1 и при выполнении данной инструкции будет установлен бит Z в регистре флагов.

| Сообщение посчитали полезным:

Без таблиц никак видимо. Тоже такая проблема давно в очереди.

| Сообщение посчитали полезным:

Наркоман чтоле? Медиану возьми.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

PE_Kill
Медиана никуда не годный дизасм. Там данные запилены в коде, он не пермутирующий.

| Сообщение посчитали полезным:

По-твоему, может, и винда никуда никуда не годится, потому что она не пермутирующая?
З.Ы. Неплохо на дату поглядывать, а потом уже апать топик.

| Сообщение посчитали полезным:

Ты ответил на сообщение от 2006 года, причем именно ответил, некрофилия это.

А насчет пермутации, это не вирусный дизасм, а реверсерский, собственно и форум это реверсеров и вопросы реверсерские и ответы так же.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным: