首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] FS:[30]+2 写如0如何用汇编写？ 0.00雪花
发表于: 2011-7-10 02:03 5549

[旧帖] FS:[30]+2 写如0如何用汇编写？ 0.00雪花

蘇仨 活跃值
2011-7-10 02:03
5549
IsDebuggerPresent()

这个函数读取进程的PEB结构的BeingDebugged标志，每个进程都有自己的PEB（Process Environment Block，进程环境块），这个结构的0x02偏移处是BeingDebugged标志。

Windows在调入进程，创建线程时，操作系统都会为每个线程创建TEB，而且FS段寄存器总是被设置成FS:0指向线程的TEB数据，TEB结构的0x30偏移处是PEB。

mov  eax, fs:[30]

movzx eax,byte ptr [eax+2]

想用汇编实现 对 fs:[30]+2

把第一个字节由01改为00  

代码要如何写呢？

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

收藏
免费 ・0
支持
分享
最新回复 (8)
ycmint
雪    币： 1149
活跃值： (833)
能力值： ( LV13，RANK：260 )
在线值：
发帖
回帖
粉丝
私信
2 楼
_asm{
                mov eax,fs:[30h]
                mov byte ptr [eax + 2],00h
        }
2011-7-10 09:52
0
蘇仨
雪    币： 48
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
void fs()
{
_asm
{
        mov eax,fs:[30h];
        mov byte ptr [eax + 2],00h;
}
}
这样写直接蓝屏是咋回事？
2011-7-10 14:12
0
蘇仨
雪    币： 48
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
_asm

{
        /*assume  fs:nothing;*/
        push eax;
        mov eax, dword ptr fs:[18h];
        add eax,30h;
        mov eax, dword ptr [eax];
        movzx eax, byte ptr [eax+2];
        and eax,dword ptr ;
        pop eax;

} 這樣也還是藍屏
藍屏文件指向這一句 mov eax, dword ptr [eax];
2011-7-10 16:21
0
nagame
雪    币： 216
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
是在WIN7上测试的吗？
2011-7-10 16:55
0
bearrb
雪    币： 0
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
不是很难的呀
2011-7-10 18:00
0
ycmint
雪    币： 1149
活跃值： (833)
能力值： ( LV13，RANK：260 )
在线值：
发帖
回帖
粉丝
私信
7 楼
[QUOTE=蘇仨;978837]_asm

{
        /*assume  fs:nothing;*/
        push eax;
        mov eax, dword ptr fs:[18h];
        add eax,30h;
        mov eax, dword ptr [eax];
        movzx eax, byte ptr [eax+2...[/QUOTE]

你哪里测的？
2011-7-10 18:06
0
蘇仨
雪    币： 48
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
XP2   藍屏文件指示的是mov eax, dword ptr [eax];
這句
看了一下說FS是16寄存器，EAX是32位的，是不是轉換出錯了呢，
還是說沒有修改權限
2011-7-10 22:38
0
ronging
雪    币： 113
活跃值： (100)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
9 楼
[QUOTE=蘇仨;978940]XP2   藍屏文件指示的是mov eax, dword ptr [eax];
這句
看了一下說FS是16寄存器，EAX是24位的，是不是轉換出錯了呢，
還是說沒有修改權限[/QUOTE]

eax什么时候是24bit的了？
2011-7-10 22:46
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//