克隆汇编指令所需的完整信息是什么

Question

我想要编写读取汇编指令（仅限 x86）并在内存的其他位置重新创建它们的代码，以便制作挂钩代码。就像，我想挂钩函数 X，所以我需要用跳转来修补它的（至少）第一个字节，并且我替换的每条指令（根据汇编代码可能会有所不同）（部分或不部分）我需要在内存中重新创建我的块，然后添加一条指令，从我没有触及的下一条指令的偏移量跳回原始函数 X。你可能知道我在说什么，因为这对很多人来说并不新鲜。我不想制作一个完整的完美程序，但我想制作一个完全可扩展的代码库，它将使用我将在下面解释的树。首先，让我们想象一些指令：

• A - “0x12 0x13 . .” 该指令有 4 个字节，前两个是静态的。
• B - “0x12”。该指令有 2 个字节，第一个字节是静态的。

对于这种情况，我会有一棵看起来像这样的树，

    Tree
     |
     |
    0x12
   /  \
  B   0x13
        |
        A

所以当代码解析一条指令时，它会尝试到达具有最长前缀的指令，如果失败，可能会停止并失败，或者尝试树中上面的指令。

想要制作这样的东西的原因是，我可以稍后使用 dll 提供的指令进行扩展，这对于我正在做的事情来说是必须的，因为我想更快地发布代码，它将处理大约 90% 的指令，并且只需要小心那些更先进的，以防我将来需要。

所以，现在我的问题是：处理代码指令的 dll 需要的确切完整信息是什么？ 比如：

• 指令开始的地址。 （当然是必须的）
• ？包含指令开始地址的模块的基地址（我想如果指令引用其模块内存的某些部分，则需要这个地址）
• ？先前的指令。不知道是否有指令需要知道之前的指令是什么或类似的东西

我也想问一下树结构是否正常或者是否会有一些问题。

所以，基本上我想请你帮助决定我需要什么信息来创建最通用的可能代码：

给定一个地址，解析其汇编指令，并根据指令调用 dll 中的函数指针，以复制这些指令。

所以，像

void* copy_instructions(void* address,int& len)
{
    int bytes_copied = 0;
    void* instructions = block of bytes // don't care about the implementation

    do
    { 
        void (*copy_instruction)(void*,int*) = get_a_handler_to_instruction_at(address) // this function will use the tree structure and retrieve a function from a dll

        if(copy_instruction != NULL)

            int len = 0;
            void* instruction = copy_instruction(void* address,&len,...) // I want to know how to make this function complete in terms of what it need for every case

            if(!instruction)
                fail

            instructions += instruction // don't care about the implementation

            address += len
            bytes_copied += len
        else
                fail
    }
    while(bytes_copied < 5)

    add_instructions_jump_to(instructions,address + bytes_copied)

    len = bytes_copied;

    return 
}

我的问题是：

一个完整​​的“copy_instruction”函数头是什么样子的？ 上面提到的树可以实现“get_a_handler_to_instruction_at”还是我需要其他东西。

Answer 1

为了挂钩一个函数，您需要：

1. 了解它的接口（调用约定、参数数量和类型等）。编译器在优化代码时可能会内联函数或绕过接口。如果是这样的话，我不知道如何最好地处理它。您可能需要调整代码，以便通过指向函数的易失性指针调用该函数，试图让编译器相信该指针可以随时更改其值并指向具有相同参数的任何其他函数，这是不明智的更改函数的序言和尾声。禁用优化可能是另一种选择。所有这些都是为了避免原始函数和新函数在接收参数和返回方式方面不兼容的情况。但是，如果这是导出函数之一，则编译器显然不会更改任何内容，因为它会破坏代码。
2. 知道它的地址。
3. 尽量反汇编函数的第一条指令，您将使用新代码的跳转指令覆盖这些指令。反汇编时，您必须找出： 指令长度（为此，您需要正确解析所有指令前缀、所有操作码字节、所有 Mod/Rm/SIB 字节、所有位移和所有立即操作数字节；一些逻辑 + 查找表会有所帮助），该指令是否将控制转移到相对于指令指针的位置或访问相对于指令指针的位置处的数据（例如，Jcc、JMP close、CALL close代码>, JMP/CALL qword ptr [RIP+something]、MOV EAX、dword ptr [RIP+something]），如果是这样，则为目标地址。
4. 了解原始说明副本的地址。理想情况下，您可以在解析指令后为副本分配内存，但您可以（并且可能应该）预先分配更多内存以简化您的生活。
5. 将原始指令复制到新位置，并在必要时根据这些指令的新旧位置之间的差异调整其中的相对地址。请注意，原始指令可能在其中使用非常短的相对地址（例如，8 位（Jcc 最常见的情况）或什至 16 位），这些相对地址对于简单的直接修补来说不够短。在这种情况下，您将需要使用更长的相对地址重新组装此类指令（这将需要插入/更改指令前缀或更改 Mod/RM/SIB 字节）。请记住，相对地址是相对于指令的结尾（或者，IOW，下一条指令的开头）的，这意味着如果调整后的指令比原始指令长，则相对地址将必须考虑指令长度差异，如下所示出色地。理想情况下，您还应该准备好处理您覆盖的原始指令相互跳转时的情况。您不希望他们的副本跳回到被覆盖的代码。
6. 添加一条 JMP 指令，该指令跳转到原始函数中第一条未触及（通过覆盖）的指令。

在此之后，在大多数情况下，挂钩应该可以正常工作。如果编译器生成的任何其他代码期望原始指令位于原始位置并且保持不变，则会出现问题。

至于数据结构，您替换了原始代码的N字节。对于 32 位跳转，N 为 5。这些 N 字节最多对应于 N 个原始指令。您需要完整保存这 1 到 N 条指令（每条指令最多 15 个字节长，IIRC），然后解析，可能会调整并存储在新位置。这里实际上不需要一棵树，一个数组就足够了。每条指令一个元素。简单的。但这是相当多的代码需要仔细编写和调试/测试。

请参阅相关问题。可能有有价值的细节。

编辑：回答主要问题：

我认为，“复制”所有指令的主函数（copy_instructions()）确实可以按照您的定义进行定义。不过，您可能希望从中返回错误代码，以防万一失败（分配内存或反汇编未知指令或其他内容）。这可能会有帮助。我看不出您还需要从呼叫者那里得到什么/为呼叫者提供什么。