首页 / 更多教程 / 获取程序真正的起始执行地址

获取程序真正的起始执行地址

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了获取程序真正的起始执行地址，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1267字，纯文字阅读大概需要2分钟。

内容图文

摘要

最近在使用vs2010编写shellcode的时候，在将编写好的shellcode保存为二进制格式的。那么引出一个问题，我刚开始的时候直接: 取地址符 + 函数名 的方式来获取函数的首地址。当时在使用shellcode的时候，程序一直崩溃，经过分析发现shellcode前面的一些代码并不是我们所需要的代码，而是一条jmp指令+一系列的CC指令，再经过对原本编写shellcode的程序进行逆向，对比分析后得出结论：&取地址符 获取的函数地址并非真正的起始地址。

 

分析过程

下面我将会使用一个最简单的例子来记录和说明。

环境：win7 64位操作系统 + vs2010.

代码如下：

void function(){

    MessageBox(0, "", "", 0);

    return ;

}

int main (){

    void *p = (void *)&function;

    printf("function的 ì ?地 ì ?址?¤：êo%x" , p);

    getchar();

    return 0;

}

打开od对我们生成的程序， 定位到main函数：

技术分享图片

当执行完：lea rax, qword ptr ds:[function]这条汇编指令(相当于执行完：void *p = (void *)&function;)后，此时rax = 0x000000013F7F100A。

技术分享图片

接下来我们在定位到rax执向的地址：000000013F7F100A。

技术分享图片

可以看出，rax指向的是一条跳转指令的地址，并非是function函数的真正执行地址。

 

获取函数真正地址

那么问题来了，我们要怎么获取我们需要的函数的真正的地址呢？我们进行进一步的分析。首先明确跳转指令jmp是由：E9 + 4字节的偏移(相对本条指令结束)，那么接下来我们就可以很容易地确定函数的真正执行地址了。其代码如下：

void *p = (void *)&function;

int offset = *(unsignedint *)((char*)p + 1);

void *rfadr = (void*)((char*)p + 5 + offset);

其结果如下：

技术分享图片

运行完 lea rax,qword ptr ds:[rcx+rax+5] | ;rax:function 这条指令后，rax = 0x000000013F501020，我们转移到rax指向的地址：

技术分享图片

这次获取的地址是我们真正想要的函数地址。

 

总结

经过对这个小例子的分析，我不仅仅知道了所谓的对函数名取地址的操作并非直接获取函数的真正的起始地址，更是让我在从发现shellcode执行崩溃，到逆向分析shellcode，再到找出、确认问题产生的原因，最后到给出真正的解决方法，这整个过程中收获良多。

 

 

2018-04-04 21:02:02

 

原文：https://www.cnblogs.com/muzicangcang/p/8719258.html

内容总结

以上是互联网集市为您收集整理的获取程序真正的起始执行地址全部内容，希望文章能够帮你解决获取程序真正的起始执行地址所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1248192.html

来源：【匿名】