32位汇编- 软断/联合编译/内联汇编/裸函数

2019-09-26

之前的笔记搬运

16位和32位汇编差异

其实到了32位汇编, 其实用radasm写32汇编和写C的感觉就差不多了

如下这段, 就是远程线程注入的一段

DlgProc proc hWin:HWND,uMsg:UINT,wParam:WPARAM,lParam:LPARAM
    local @dwPID:DWORD
    local @hProcess:HANDLE
    local @lpBuff :LPVOID
    local @dwBytes :dword
    local @hThread :HANDLE
    local @dwExitCode :dword
    
    mov @dwPID, 1860
    
	mov		eax,uMsg
	.if eax==WM_INITDIALOG

	.elseif eax==WM_COMMAND
        mov eax, wParam
        .if ax == IDB_TEST
            ;1.打开进程
            invoke OpenProcess,PROCESS_ALL_ACCESS, FALSE, @dwPID
            mov @hProcess, eax
            .if eax == NULL
                jmp safe_exit
            .endif
            
            ;2.申请空间
            invoke VirtualAllocEx,@hProcess, NULL, 1000h, MEM_COMMIT, PAGE_EXECUTE_READWRITE
            mov @lpBuff, eax
            
            ;3.写入代码
            invoke WriteProcessMemory,@hProcess, 
                                       @lpBuff, 
                                      offset inject_code, 
                                      start - inject_code, 
                                      addr @dwBytes
            .if !eax
                jmp safe_exit
            .endif              
                        
            ;4.创建远程线程
            invoke CreateRemoteThread,@hProcess, NULL, 0, @lpBuff, NULL, 0, NULL
            mov @hThread, eax
            
            invoke WaitForSingleObject,@hThread, INFINITE
            invoke GetExitCodeThread, @hThread, addr @dwExitCode
            .if @dwExitCode == TRUE
                invoke MessageBox,NULL, offset g_szMsg, NULL, MB_OK
            .endif
            invoke CloseHandle,@hThread
            invoke CloseHandle,@hProcess
        .endif
	.elseif eax==WM_CLOSE
		invoke EndDialog,hWin,0
	.else
		mov		eax,FALSE
		ret
	.endif
	
safe_exit:
	mov		eax,TRUE
	ret

DlgProc endp

软件断点的原理

把需要断点的位置一字节保存, 再改为CC -> 系统执行执行到CC抛出异常停止 ->
把保存的一字节还原

上述就是断点的执行步骤

hex: cc

asm: int 3

ascii 烫

联合编译:

把C和ASM都编译成OBJ, 在进行手工链接
把ASM编译成DLL, 使用C语言调用

内联汇编:

关键字: __asm

使用方法:

1
2
3

__asm { mov eax,eax mov ebx,ebx} 
或 
__asm mov eax,eax

使用内联汇编可以在编译C语言中内嵌汇编代码

使用注意:

1.  需要注意保存寄存器环境, 如pushad和pushf
2.  大部分伪指令不可用, _emit 可以代替 db
3.  用CALL调用函数的方式
4.  给寄存器地址在call, 如: mov eax, fun call eax  
5.  call时加上ds段超越, 会自动取内容调用, 如: call ds:fun

裸函数

关键字: __declspec(naked)

使用方法: 在函数前加上关键字修饰

这样的函数在编译后就不会生成任何二进制代码, 可以用于编写纯汇编函数

使用注意:

1. 由于没有生成任何汇编代码, 那么保存环境, 开辟局部变量空间就需要自己来完成
2. 局部变量可以想C代码一样声明, 但是需要自己开辟空间, 但是需要算所有变量大小是非常痛苦的事, 可以用关键字 __LOCAL_SIZE代替大小,如:sub esp, __LOCAL_SIZE
3. 在裸函数中数组是无法初始化的, 需要自己在代码里初始化的
4. 关于数组的伪指令:   
	1) TYPE ary  求数组类型大小
	2) SIZE ary   求数组总大小
	3) LENGTH ary 求数组成员数
	4) 数组访问 ary[ i * TYPE ary ]