x86ASM

使用ASM编写没有导入表的EXE
本帖最后由 Tesla.Angela 于 2010-8-5 22:55 编辑

  2. .386
  3. .model flat, stdcall
  4. option casemap :none
  5. .data
  6. DllName db 'user32.dll',0
  7. FunName db 'MessageBoxA',0
  8. .CODE
  9. START:
  10. NoImport proc
  11.   local hLib:DWORD
  12.   local pMsg:DWORD
  13.   ;hLib=LoadLibraryA("user32.dll")
  14.   push offset DllName
  15.   mov eax,7C801D7Bh
  16.   call eax
  17.   mov hLib,eax
  18.   ;pMsg=GetProcAddress(hLib,"MessageBoxA")
  19.   push offset FunName
  20.   push hLib
  21.   mov eax,7C80AE40h
  22.   call eax
  23.   mov pMsg,eax
  24.   ;MessageBoxA(0,"MessageBoxA","user32.dll",0)
  25.   push 0
  26.   push offset DllName
  27.   push offset FunName
  28.   push 0
  29.   mov eax,77D507EAh
  30.   call eax
  31.   ;ExitProcess(0)
  32.   push 0
  33.   mov eax,7C80C0F8h
  34.   call eax
  35. NoImport endp
  36. end START
复制代码

不知道有没有不使用硬编码实现的办法？
这段代码编译出来的EXE大小为1.5KB。
如果注释掉NoImport proc到NoImport endp之间的代码也可以编译，编译出来的EXE大小为1KB，但是运行时出错。
倒序浏览 看全部 全部回复10
我用来查API地址的小软件
  • 3楼 mxxgt
  • 2010-8-6 00:33:03
本帖最后由 mxxgt 于 2010-8-6 00:38 编辑

  2. ;注意masm编译，注意这个程序不能直接运行，编译完成后od加载code3之前运行一次是加密，运行完dump出来就是shellcode了！
  3. .386p
  4. .model flat, stdcall
  5. .code
  6. start:
  7. assume fs:flat, gs:flat
  8. ;这里直接写代码
  9. ;------------------------B.j.H's split-line-----------------------------------
  10. ;首先建立一个在shellcode中需要用到的字符表他应该包括
  11. ;LoadLibraryA
  12. ;user32
  13. ;MessageBoxA
  14. ;ExitProcess
  15. ;B.J.H        当然为了弹出的Msgbox有个性可以添加这样一字符串，用来弹框框
  16. ;这些字符统统压入堆栈以便调用！
  17. ;所以我们代码的前面是
  18. ;------------------------B.j.H's split-line-----------------------------------
  19. push 0048h                        ;B.J.H
  20. push 2e4a2e42h                    ;
  21. push 00737365h                    ;ExitProcess
  22. push 636f7250h
  23. push 74697845h
  24. push 0041786fh                    ;MessageBoxA
  25. push 42656761h
  26. push 7373654dh
  27. push 00323372h                    ;user32
  28. push 65737500h
  29. push 41797261h                    ;LoadLibraryA
  30. push 7262694ch
  31. push 64616f4ch
  32. mov edx,esp                       ;保存字符串首地址
  33. ;上面是一个函数表！注意压入的字符格式，注意堆栈是倒过来的！慢慢调试可以感觉出来的！
  34. ;最后一据代码是保存字符串表的的入口（也就是首地址）
  35. ;------------------------B.j.H's split-line-----------------------------------
  36. ;获得Kernel的基地址（这一段很多地方都能找到！）不做解释了！
  37. xor eax,eax
  38. mov eax,dword ptr FS:[030h]
  39. mov eax,DWORD PTR [eax+0ch]
  40. mov esi,DWORD PTR [eax+01ch]
  41. lodsd
  42. mov eax,dword ptr [eax+8h]
  43. ;------------------------B.j.H's split-line-----------------------------------
  44. ;现在eax中存放的就是kernel32的基地址了！
  45. ;当处到这里我就不知道该怎么出来了！得到基地址到底有什么用呢！不知道！呵呵！时间久了！
  46. ;忙忙的阅读一些资料！自然而然的就懂了！...我不是那种一看资料就明白的那种具有潜质的大
  47. ;鸟，只是一点一点体会的小菜鸟！
  48. ;下面先写一个调用就是
  49. ;------------------------B.j.H's split-line-----------------------------------
  50. push eax                          ;保存kernel32.dll基地址
  51. push edx                          ;传入需要查询函数名地址
  52. push 0ch                          ;函数名长度
  53. call getapi                       ;调用函数得到函数入口
  54. ;------------------------B.j.H's split-line-----------------------------------
  55. pop ebx                           ;弹出堆栈里的的函数名地址（是之前建立的）
  56. add ebx,0dh                    ; 加上字符长度得到下一个需要使用的字符串的
  57. push ebx                         ;参数"user32"
  58. call eax                           ;调用LoadLibraryA("user32"),加载
  59.                                        ;user32.dll，且eax中是从函数调用返回的user32的基地址
  60. ;------------------------B.j.H's split-line-----------------------------------
  61. add ebx,07h                     ; 继续得到下一个需要使用的字符串。下面的几个调用不详细说了... ...
  62. push ebx                          ;
  63. push 0bh                          ;  
  64. call getapi                        ;调用getaddr函数获取MessageBoxA函数地址.
  65. ;------------------------B.j.H's split-line-----------------------------------
  66. pop ebx                           ;
  67. add ebx,018h                   ;
  68. push 0h                           ;
  69. push ebx                          ;
  70. push ebx                          ;
  71. push 0h                           ;
  72. call eax                          ;调用MessageBoxA
  73. ;------------------------B.j.H's split-line-----------------------------------
  74. mov edx,0ch                     ;
  75. pop eax                            ;
  76. sub ebx,edx                      ;
  77. push ebx                          ;
  78. push edx                          ;
  79. call getapi                        ;调用getaddr函数获取exitprocess函数地址.
  80. call eax                            ;调用exitprocess
  81. ;------------------------B.j.H's split-line-----------------------------------
  82. ;下面这个才是重点！（个人认为）
  83. ;写一个根据dll的基地址查找API函数入口 的函数方便调用
  84. ;函数说明：此函数包括两个传入参数，一个是基地址，另一个是需要查询的函数名字符串首地址
  85. ;------------------------B.j.H's split-line-----------------------------------
  86. getapi:
  87. mov ebx,eax                                  ;eax存放的传入的基地址
  88. add eax,03ch                                 ;定位PE头位置地址
  89. mov eax,dword ptr [eax]               ;获得PE头偏移地址
  90. add eax,ebx                                   ;计算PE头VA
  91. cmp dword ptr [eax],00004550h    ;验证PE文件的合法性
  92. jne Err                                            ;不合法跳转
  93. mov eax,dword ptr [eax+078h]     ;导出表地址获得
  94. add eax,ebx                                  ;计算导出表入口VA
  95. push eax                                       ;保存导出表入口VA
  96. mov ecx,eax                                  ;令ecx指向导出表
  97. mov ecx,dword ptr [ecx + 014h]   ;找出导出表中函数个数作为循环值
  98. mov eax,dword ptr [eax + 020h]   ;找出函数名字符串地址表的偏移
  99. add eax,ebx                                  ;计算函数名字符串地址表的VA
  100. push ebp                                        ;保存ebp寄存器，寄存器不够用，借用一下，呵呵！
  101. mov ebp,eax                                  ;ebp保存函数名字符串地址表的VA
  102. xor edx,edx                                   ;edx清0用于存放函数索引
  103. LoopFind:
  104. push ecx;                                       ;保存ecx 循环次数
  105. mov eax,dword ptr[eax]                ;获取函数名字符串偏移
  106. add eax,ebx                                  ;计算函数字符串VA
  107. mov edi,eax                                   ;把VA赋值给edi 准备比较
  108. mov esi,dword ptr [esp + 014h]   ;这个地方要算好了！函数内部有3个push，每个push为4个字节一个12个字节
  109.                                                       ;字符串地址放在call外部倒数第二个push(这个自己用控制好第几个参数是自己定的)
  110.                ;也就是说从push 字符串地址到这个命令行之间有16个字节被push进入栈中。是不是就是+10H呢
  111.                ;注意我们这里用了一个函数，不是jmp，函数调用的时候会有一个push eip用于返回！
  112.                ;所以我们在计算的时候这个push不能忘，最后计算得到esp+14h中所放的就我们要查的函数名字符的地址
  113. mov ecx,dword ptr [esp + 010h]     ; 计算同上，这里是给ecx赋值，函数名的长度。ecx被改变了
  114.                                                         ;（后面,在loop命令之前要恢复的ecx，这个是计数器，硬性规定，呵呵！）
  115. cld                              ;
  116. repz cmpsb                                     ;字符串比较 esi 和 edi 比较
  117. jne FindNext                                   ;比较,如果不是,则取下一个函数
  118. add esp,4                                     ;找到往下执行 相当与pop ecx。无关紧要了！
  119. mov eax,dword ptr [esp + 04h]    ;恢复导出函数表入口
  120. mov eax,dword ptr [eax + 01ch]   ;获得函数地址表入口偏移
  121.                                                      ;我在这里缺少了一步，大多数情况不会有影响，具体的是哪一步，
  122.                                                      ;深究的同志可以看看关于函数导出表的函数查询方式
  123. add eax,ebx                      ;计算函数地址表入口VA
  124. shl edx,2                        ;函数索引*函数地址(默认为4个字节) 鉴戒别人的，很妙的一招相当与乘以4
  125. add eax,edx                      ;函数地址表基址+(函数索引)
  126. mov eax,dword ptr[eax]           ;获得函数入口地址偏移
  127. add eax,ebx                      ;计算VA
  128. jmp Found
  129. FindNext:
  130. inc edx                                ;计数器加一
  131. add ebp,4h                         ;函数名字符串地址表的VA指向下一个函数名地址
  132. mov eax,ebp                       ; 函数名地址的VA赋值到eax
  133. pop ecx                              ;恢复ecx 循环次数
  134. loop LoopFind                     ;loop 继续循环查找
  135. Err:
  136. xor eax,eax                       ;没有找到，或者出错，eax清理。
  137. Found:
  138. pop ebp                              ;恢复ebp
  139. pop ecx                               ;不能再恢复eax了！弹到ecx好了！
  140. ret 4                                    ; 返回 且 add esp 4
  141.                                            ;这个是因为我们调用完函数时需要利用之前我们自己建立函数名字符表。
  142. end start

复制代码


EXE编译大小为1K
汇编.....确实NB,很小很小......
这个问题不是简单的问题，值得研究！！
  • 6楼 inside
  • 2010-8-6 13:33:17
名不副实
  • 7楼 gfw
  • 2011-12-26 12:30:05
顶了！！！！
  • 8楼 XSS
  • 2014-3-29 00:23:34
提示: 作者被禁止或删除 内容自动屏蔽
  • 9楼 sku__
  • 2015-1-10 21:33:16
学习了谢谢分享
  • 10楼 upring
  • 2015-4-29 09:35:12
代码不错必须支持
  • 11楼 影月邪歌 该用户已被删除
  • 2017-10-13 11:09:45
提示: 作者被禁止或删除 内容自动屏蔽
回复 收藏 转播 分享 淘帖