求一个当前进程内写字节集的汇编写法，32位的

dnxl

直接把ntdll.RtlMoveMemory的字节码复制来用就行，自己写出来不一定有它效率高

chujiyang

dnxl 发表于 2025-12-7 22:33
直接把ntdll.RtlMoveMemory的字节码复制来用就行，自己写出来不一定有它效率高

好主意 我看看

尛龍科技

  

子程序名	返回值类型	公开	备 注
写内存字节集	逻辑型
参数名	类 型	参考	可空	数组	备 注
目标地址	整数型
字节集数据	字节集
数据长度	整数型

变量名	类 型	静态	数组	备 注
长度	整数型
pData	整数型

如果真 (是否为空 (数据长度))
长度 ＝ 取字节集长度 (字节集数据)
长度 ＝ 数据长度

pData ＝ 取字节集数据 (字节集数据, , )
置入代码 ({ 96 })  ' pushad
置入代码 ({ 139, 125, 8 })  ' mov edi, [ebp+0x8]    ; edi = 目标地址
置入代码 ({ 139, 117, 12 })  ' mov esi, [ebp+0x0C]   ; esi = 字节集数据地址
置入代码 ({ 139, 77, 16 })  ' mov ecx, [ebp+0x10]   ; ecx = 长度
置入代码 ({ 252 })  ' cld                          ; 清除方向标志
置入代码 ({ 243, 164 })  ' rep movsb               ; 逐字节复制
置入代码 ({ 97 })  ' popad
置入代码 ({ 184, 1, 0, 0, 0 })  ' mov eax, 1       ; 返回真
置入代码 ({ 93 })  ' pop ebp
置入代码 ({ 194, 16, 0 })  ' ret 16
返回 (真)

.版本 2<br /> <br /> .子程序 写内存字节集, 逻辑型<br /> .参数 目标地址, 整数型<br /> .参数 字节集数据, 字节集<br /> .参数 数据长度, 整数型, 可空<br /> .局部变量 长度, 整数型<br /> .局部变量 pData, 整数型<br /> <br /> .如果真 (是否为空 (数据长度))<br />     长度 ＝ 取字节集长度 (字节集数据)<br />     长度 ＝ 数据长度<br /> .如果真结束<br /> <br /> pData ＝ 取字节集数据 (字节集数据, , )<br /> 置入代码 ({ 96 })  ' pushad<br /> 置入代码 ({ 139, 125, 8 })  ' mov edi, [ebp+0x8]    ; edi = 目标地址<br /> 置入代码 ({ 139, 117, 12 })  ' mov esi, [ebp+0x0C]   ; esi = 字节集数据地址<br /> 置入代码 ({ 139, 77, 16 })  ' mov ecx, [ebp+0x10]   ; ecx = 长度<br /> 置入代码 ({ 252 })  ' cld                          ; 清除方向标志<br /> 置入代码 ({ 243, 164 })  ' rep movsb               ; 逐字节复制<br /> 置入代码 ({ 97 })  ' popad<br /> 置入代码 ({ 184, 1, 0, 0, 0 })  ' mov eax, 1       ; 返回真<br /> 置入代码 ({ 93 })  ' pop ebp<br /> 置入代码 ({ 194, 16, 0 })  ' ret 16<br /> 返回 (真)

chujiyang

chujiyang 发表于 2025-12-7 22:45
好主意 我看看

api不让调用没办法

同学麻烦让让

上面代码没一个对的

同学麻烦让让

chujiyang

尛龍科技 发表于 2025-12-7 22:46
[e=0].版本 2

.子程序 写内存字节集, 逻辑型

1.请问pDdata这里的用处是？且取字节集数据的参数没有填直接报错了
2.esi这里获取的是第2个参数字节集数据的地址 但里面并没有存放正确的数据
我下断点看了下
[[esi]+8]存放的才是正确的存放参数的地址

chujiyang

萧楚楠 发表于 2025-12-7 22:31
[e=0].版本 2

.子程序 写字节集, 逻辑型

1.rep movsb 是 esi往edi里写字节才对
2.ebp+4 里面保存的是堆栈返回的地址 ebp+8才是第一个参数
3.子程序只有2个参数但从栈里取出3个参数 子程序没传长度的参数，ecx来源于？

chujiyang

同学麻烦让让 发表于 2025-12-7 23:42
上面代码没一个对的

确实测试了都有点问题

chujiyang

同学麻烦让让 发表于 2025-12-7 23:42
上面代码没一个对的

.版本 2

.子程序 写内存字节集1
.参数 目标地址, 整数型
.参数 字节集数据, 字节集
.参数 数据长度, 整数型


置入代码 ({ 96 })  ' pushad
置入代码 ({ 139, 125, 8 })  ' mov edi, [ebp+0x8]    ; edi = 目标地址
置入代码 ({ 139, 117, 12 })  ' mov esi, [ebp+0x0C]   ; esi = 字节集数据地址
置入代码 ({ 139, 54 })  ' mov esi,[esi]
置入代码 ({ 131, 198, 8 })  ' add esi,8
置入代码 ({ 139, 77, 16 })  ' mov ecx, [ebp+0x10]   ; ecx = 长度
置入代码 ({ 252 })  ' cld                          ; 清除方向标志
置入代码 ({ 243, 164 })  ' rep movsb               ; 逐字节复制
置入代码 ({ 97 })  ' popad
置入代码 ({ 184, 1, 0, 0, 0 })  ' mov eax, 1       ; 返回真
置入代码 ({ 93 })  ' pop ebp
置入代码 ({ 194, 16, 0 })  ' ret 16

第二个其实离正确很接近，我刚刚自己改了一下
多加了 mov esi,[esi] 和 add esi,8就对了
貌似易语言里面传进去的字节集参数 会存放在参数地址 [[+0]+8 这层偏移里