shellcode获取MessageBoxA的地址

_asm
    {
        push ebp
        mov eax,fs:[30h];获得PEB地址
        mov eax,[eax+0ch];获得LDR地址
        mov eax,[eax+14h];获得PEB_LDR_DATA中InMemoryOrderModuleList的

Flink
        mov ecx,eax;因为eax中的Flink也就是等于LDR_DATA_TABLE_ENTRY中

InMemoryOrderLinks的Flink
        sub eax,8;获得LDR_DATA_TABLE_ENTRY地址
        ;查看第一个入口点
        mov eax,[eax+1ch];成功        
        ;恢复eax中的Flink获得下一个Flink
        mov eax,ecx
        ;获得下一个Flink
        mov eax,[eax]
        ;保存Flink
        mov ecx,eax
        ;获得第二个模块的入口点
        sub eax,8
        mov eax,[eax+1ch]
        ;恢复eax的Flink
        mov EAX,ECX
        ;获得下一个Flink
        mov eax,[eax]
        ;保存Flink
        mov ecx,eax
        ;获得第三个模块的入口点,即kernel32
        sub eax,8h
        mov eax,[eax+1Ch]    
        ;恢复eax的Flink
        mov eax,ecx
        ;获得下一个Flink
        mov eax,[eax]
        ;保存Flink
        mov ecx,eax
        ;获得第四个模块的入口点
        sub eax,8
        mov eax,[eax+1ch]
        ;恢复eax的Flink
        mov eax,ecx
        ;获得下一个Flink
        mov eax,[eax]
        ;保存Flink
        mov ecx,eax
        ;获得第五个模块的基地址，即user32.dll
        sub eax,8
        mov eax,[eax+18h]
        ;保存user32的基址
        mov ebp,eax
        ;PE头部
        mov eax,[ebp+3ch]
        ;输出表偏移
        mov edx,[ebp+eax+78h]
        ;输出表地址
        add edx,ebp
        ;输出函数个数
        mov ecx,[edx+18h];正确
        ;获得AddressOfNamesRVA
        mov ebx,[edx+20h]
        ;获得AddressOfNames地址
        add ebx,ebp
        
search:
        dec ecx
        mov esi,[ebx+ecx*4]
        ;获得函数名称
        add esi,ebp
        mov eax,0x7373654D;'sseM'
        cmp [esi],eax
        jne search;
        mov eax,0x42656761;'Bega'
        cmp [esi+4],eax
        jne search
        mov eax,0x0041786F;'_Axo'
        cmp [esi+8],eax
        jne search
        ;找到MessageBoxA,获取函数需要偏移地址
        ;函数序号数组偏移地址
        mov ebx,[edx+24h]
        add ebx,ebp
        ;计算出序号值
        mov cx,[ebx+ecx*2]
        
        ;获得函数地址数组指针
        mov ebx,[edx+1ch]
        add ebx,ebp
        ;获得函数偏移量
        mov eax,[ebx+ecx*4]
        add eax,ebp;//得到MessageBoxA的地址
        ;数据定义
data:
        ;显示的数据在新加段中显示        
        lea ebx,data        
        PUSH 0
        PUSH 0
        PUSH 0
        PUSH 0
        call eax        
        pop ebp

}

获取LoadLibrary的地址

// tmp.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <windows.h>
#include <iostream>
#include<ImageHlp.h>
#pragma comment(lib,"imagehlp.lib")
using namespace std;
int main()
{
    //;关于IMAGE_EXPORT_DIRECTORY中的地址变量在使用时都要加上IMAGE_EXPORT_DIRECTORY的基地址
    _asm
    {
        push ebp;暂存基址
        mov eax,fs:[30h];获取PEB地址
        mov eax,[eax+0ch];获取LDR地址
        mov  eax,[eax+14h];获得PEB_LDR_DATA中InMemoryOrderModuleListFlink的地址，该地址和LDR_DATA_TABLE_ENTRY中的Flink相同
        ;保存Flink
        mov ecx,eax
        ;获取LDR_DATA_TABLE_ENTRY的基址
        sub  eax,8
        ;获得该模块的基址，第一个模块应该是其自身
        mov eax,[eax+18h];成功
        ;恢复eax中的Flink
        mov eax,ecx
        ;获取下一个Flink
        mov  eax,[eax]
        ;保存该Flink
        mov ecx,eax
        ;获取第二个模块的基址一般是ntdll
        sub eax,8
        mov eax,[eax+18h]
        ;恢复eax中的Flink
        mov eax,ecx
        ;获取第三个模块的Flink,一般是kernel32.dll
        mov eax,[eax]
        ;保存当前Flink
        mov ecx,eax
        ;获取该模块的基址
        sub eax,8
        mov eax,[eax+18h];到此已经得到了我们需要的kernel32.dll的基址
        ;ebp保存dll的基址
        mov ebp,eax
        ;获取PE头部
        mov eax,[ebp+3Ch]
        ;获取导出表头部偏移量
        mov edx,[ebp+eax+78h]
        ;获取输出表地址edx
        add edx,ebp
        ;获得输出函数个数
        mov ecx,[edx+18h];正确
        ;获取输出函数名称数组地址,放在ebx当中
        mov ebx,[edx+20h]
        add ebx,ebp
search:
        dec ecx;
        mov esi,[ebx+ecx*4]
        add esi,ebp;
        mov eax,64616f4ch;'daoL'
        cmp eax,[esi]
        jnz search
        mov eax,7262694ch;'rbiL'
        ;mov eax,49707071h
        cmp eax,[esi+4]
        jnz search
        mov eax,41797261h;'Ayra'
        cmp eax,[esi+8]
        jnz search
        ;找到了函数名也就是，有了序号
        ;再获取函数序号数组地址
        mov ebx,[edx+24h]
        add ebx,ebp
        ;得出函数序号注意：函数序号是一个字变量
        mov cx,[ebx+ecx*2]
        ;获取函数地址数组地址
        mov ebx,[edx+1ch]
        add ebx,ebp
        ;根据序号取出函数地址
        mov eax,[ebx+ecx*4]
        add eax,ebp
        push 0
        call eax;
        pop ebp

    }
    return 0;
}