X86下 直接的jmp分3种
Short Jump(短跳转)机器码 EB rel8
只能跳转到256字节的范围内
Near Jump(近跳转)机器码 E9 rel16/32
可跳至同一个段的范围内的地址
Far Jump(远跳转)机器码EA ptr 16:16/32
可跳至任意地址,使用48位/32位全指针
PEB :进程环境块
TEB.ProcessEnvironmentBlock成员就是PEB的结构体地址
1:通过CreateProcess()创建新的被挂起的进程,此时其初始化线程上下文中,ebx 指向其PEB结构, EAX指向其EIP(代码执行地址)
2:如果线程没被挂起, 通过FS寄存器指向当前TEB结构 , 再TEB偏移0x30处是PEB指针 ,通过这个指针可以取得PEB结构的地址
3:X64程序下的FS寄存器角色已经换成了gs
暂时发现的一些东西:
gs:[0x30] TEB
gs:[0x40] Pid
gs:[0x48] Tid
gs:[0x60] PEB
gs:[0x68] LastError.
虽然gs:[0x60]直接存放的PEB,但是由于vista/7后的地址随机化机制,还是从TEB获取比较靠谱。
TEB结构体位于FS段选择符所指的段内存的起始地址处,
且ProcessEnvironmentBlock成员位于距TEB结构体Offset 30的位置
即有两种方法获得PEB的地址:
mov eax,dword ptr fs:[
00000018h] teb
mov eax,dword ptr [eax+
30h peb
2mov eax,dword ptr fs:[30] peb
----------------------------------------------------------------------------------------------------------------
1.CALL立即数
CALL后面跟一个立即数,也就是32位偏移量时,机器码为0XE8后面的32位立即数是偏移量.
偏移量的计算: 目标偏移地址 减 CALL 指令后的下一条指令的地址
如下:
804f891c e887391700 call nt!KdInitSystem (8066c2a8)
804f8921 e8fc3d1700 call nt!KdpRestoreAllBreakpoints (8066c722)
==>
804f891c+1取地址为偏移量:*804f891d = 00173987
804f891c +5=804f8921 为 CALL 指令后的下一条指令的地址
所以8066c2a8的由来是:804f8921 +00173987 = 8066c2a8
假定i = 804f891c,有以下公式可以得到:
addr = (i+5)+*(PULONG)(i+1);// addr即call 后调用的函数,8066c2a8
2.CALL [内存地址]
机器码是
0XFF15
后面跟的是内存地址.
如下:
kd> # ff15
nt!PspCreateProcess+0x5da:
805c8066 ff1500874d80 call dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d8700)]
kd> ln 804d8700
(804d8700) nt!_imp_HalRequestSoftwareInterrupt | (804d8704) nt!_imp_KeAcquireInStackQueuedSpinLock
Exact matches:
nt!_imp_HalRequestSoftwareInterrupt =
这个比较简单:
假定i = 804f8935 ,
如果*(i)=0xff&&*(i+1)=0×15
则addr = *(PULONG)(i+2)
3. call far [内存地址]
机器码是0XFF1D后面跟的是内存地址.和2一样
4.JMP 立数数【0xE9】Near Jump(近跳转)
机器码是0xE9,操作和1一样
804f89ad e91e900400 jmp nt!KiAcquireSpinLock (805419d0)
804f89b2 cc int 3
计算:804f89b2 + 0004901e=805419d0
5.JMP 立数数【0xEb】Short Jump(短跳转)
机器码是0xEb,操作和1一样(但后面是一个字节!)
804f8964 eb05 jmp nt!KdPowerTransition+0×29 (804f896b)
804f8966 e827720400 call nt!KdD0Transition (8053fb92)
计算:804f8966 + 05 = 804f896b
假定i = 804f8964 ,有以下公式可以得到:
addr = (i+5)+*(PUCHAR)(i+1);// addr即call 后调用的函数,804f896b
6.JMP 内存地址
机器码是0XFF25后面跟的是内存地址
804f904f ff250c914d80 jmp dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d910c)]
7.JMP FAR 内存地址
机器地址是0XFF2D,和6一样