【文章标题】: OD 写补丁代码插件 SkyPatch 的 bug 修正
【文章作者】: CCDebuger
【软件名称】: SkyPatch 1.1
【下载地址】: 自己搜索下载
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  SkyPatch 插件用来在 OD 中写补丁代码是比较方便的。不过这个插件有个 bug，就是当写入的字串放在 VA 地址 00A00000 以后，则无法构建。如果构建的话，则会出现类似这样的错误：
  
  错误的命令位于行: 18 PUSH a17250 Unknown identifier
  构建失败
  
  补丁代码类似于这样：
  
  @0x00A17250:
  $str1 "xxxxxx"
  
  以下代码省略...
  
  PUSH $str1
  
  这里要在 OD 中正常汇编的话，转换后的指令应该是：
  
  PUSH 0a17250
  
  这样才能正常编译。可见 SkyPatch 插件在把地址的 DWORD 值转换为字串时，把前面的 0 丢掉了。如果地址是低于 00A00000 的值，这样没什么问题，但如果转换的字串地址大于 00A00000，则无法编译了。现在试着修复这个错误。用 IDA 分析一下 SkyPatch 插件，根据出错字串“错误的命令位于行”很容易发现有三个地方调用。两个地方都是调用 OD 的汇编功能的，不是我们要找的地方。那就只有这个地方：
  
  .text:1000F1DF loc_1000F1DF:                           ; CODE XREF: _Convert_Param_to_Str+EFj
  .text:1000F1DF                 mov     edx, [eax+0Ch]
  .text:1000F1E2                 mov     ecx, (offset LibFileName+124h)
  .text:1000F1E7                 and     dh, 0F9h
  .text:1000F1EA                 or      dh, 8
  .text:1000F1ED                 mov     [eax+0Ch], edx
  .text:1000F1F0                 mov     eax, [esp+3Ch+arg_0]
  .text:1000F1F4                 push    eax             ; 这里就是地址的DWORD值
  .text:1000F1F5                 call    ds:std::basic_ostream<char,std::char_traits<char>>::operator<<(uint)
  .text:1000F1F5
  .text:1000F1FB                 lea     ecx, [esp+3Ch+var_1C]
  .text:1000F1FF                 push    ecx
  .text:1000F200                 mov     ecx, (offset LibFileName+11Ch)
  .text:1000F205                 call    ds:std::basic_stringstream<char,std::char_traits<char>,std::allocator<char>>::str(void)
  .text:1000F205
  .text:1000F20B                 mov     esi, eax
  .text:1000F20D                 mov     edx, ds:uint const std::basic_string<char,std::char_traits<char>,std::allocator<char>>::npos
  .text:1000F213                 mov     ecx, [esi+8]
  .text:1000F216                 mov     [esp+3Ch+var_4], 1
  .text:1000F21E                 mov     eax, [edx]
  .text:1000F220                 mov     edi, eax
  .text:1000F222                 cmp     ecx, edi
  .text:1000F224                 jnb     short loc_1000F228
  .text:1000F224
  .text:1000F226                 mov     edi, ecx        ; 在 EDI 中保留转换后的地址字串长度值
  .text:1000F226
  .text:1000F228
  .text:1000F228 loc_1000F228:                           ; CODE XREF: _Convert_Param_to_Str+144j
  .text:1000F228                 sub     eax, [ebp+8]
  .text:1000F22B                 cmp     eax, edi
  .text:1000F22D                 ja      short loc_1000F235
  .text:1000F22D
  .text:1000F22F                 call    ds:std::_Xlen(void)
  .text:1000F22F
  .text:1000F235
  .text:1000F235 loc_1000F235:                           ; CODE XREF: _Convert_Param_to_Str+14Dj
  .text:1000F235                 test    edi, edi
  .text:1000F237                 jbe     short loc_1000F27C
  .text:1000F237
  .text:1000F239                 mov     ebx, [ebp+8]
  .text:1000F23C                 push    0
  .text:1000F23E                 add     ebx, edi        ; 地址字串长度或指令+地址字串长度送到 EBX
  .text:1000F240                 mov     ecx, ebp
  .text:1000F242                 push    ebx
  .text:1000F243                 call    ds:std::basic_string<char,std::char_traits<char>,std::allocator<char>>::_Grow(uint,bool)
  .text:1000F243
  .text:1000F249                 test    al, al
  .text:1000F24B                 jz      short loc_1000F27C
  .text:1000F24B
  .text:1000F24D                 mov     esi, [esi+4]    ; [ESI+4]中就是转换后的地址字串
  .text:1000F250                 test    esi, esi
  .text:1000F252                 jnz     short loc_1000F25A
  .text:1000F252
  .text:1000F254                 mov     esi, ds:char const `std::basic_string<char,std::char_traits<char>,std::allocator<char>>::_Nullstr(void)'::`2'::_C
  .text:1000F254
  .text:1000F25A
  .text:1000F25A loc_1000F25A:                           ; CODE XREF: _Convert_Param_to_Str+172j
  .text:1000F25A                 mov     eax, [ebp+4]
  .text:1000F25D                 mov     ecx, edi
  .text:1000F25F                 mov     edi, [ebp+8]
  .text:1000F262                 add     edi, eax
  .text:1000F264                 mov     eax, ecx
  ----------------------------------------------------------------------------------------------------------
  现在复制一个原版的 OllyDBG，只配置 SkyPatch 这一个插件，这个新配置的 OD 我们设为 OD1。现在用我们自己常用的 OD 打开 OD1，用 OD1 载入我们要打补丁的程序，调用 SkyPatch 打开要写入的补丁脚本。现在转到我们自己常用的 OD 中，ALT+E 打开模块窗口，双击 SkyPatch 模块，在汇编窗口中定位到我们上面看到的代码处，设断点。当然上面的代码是我已经结合 OD 分析过的，第一次我们可能定位的位置并不一定对。不过没关系，可以根据断下来后程序的执行情况再调整断点。这个各位可以自己测试。现在说一下在 OD 中调试看到的情况：
  
  026AF1F4  |.  50            PUSH EAX                                         ;  EAX 就是参数经过转换后所得到的地址 DWORD 值
  026AF1F5  |.  FF15 60306B02 CALL DWORD PTR DS:[<&MSVCP60.??6?$basic_ostream@>;  MSVCP60.??6?$basic_ostream@DU?$char_traits@D@std@@@std@@QAEAAV01@I@Z
  026AF1FB  |.  8D4C24 20     LEA ECX,DWORD PTR SS:[ESP+20]
  026AF1FF  |.  51            PUSH ECX
  026AF200  |.  B9 807C6B02   MOV ECX,026B7C80
  026AF205  |.  FF15 F8306B02 CALL DWORD PTR DS:[<&MSVCP60.?str@?$basic_string>;  MSVCP60.?str@?$basic_stringstream@DU?$char_traits@D@std@@V?$allocator@D@2@@std@@QBE?AV?$basic_string@DU?$char_traits@D@std@@V?$allocator@D@2@@2@XZ
  026AF20B  |.  8BF0          MOV ESI,EAX
  026AF20D  |.  8B15 BC306B02 MOV EDX,DWORD PTR DS:[<&MSVCP60.?npos@?$basic_st>;  MSVCP60.?npos@?$basic_string@DU?$char_traits@D@std@@V?$allocator@D@2@@std@@2IB
  026AF213  |.  8B4E 08       MOV ECX,DWORD PTR DS:[ESI+8]                     ;  转换后的地址字串长度
  026AF216  |.  C74424 38 010>MOV DWORD PTR SS:[ESP+38],1
  026AF21E  |.  8B02          MOV EAX,DWORD PTR DS:[EDX]
  026AF220  |.  8BF8          MOV EDI,EAX
  026AF222  |.  3BCF          CMP ECX,EDI                                      ;  比较字串长度是否大于等于0
  026AF224  |.  73 02         JNB SHORT 026AF228
  026AF226  |.  8BF9          MOV EDI,ECX                                      ;  在 EDI 中保留转换后的地址字串长度值
  026AF228      2B45 08       SUB EAX,DWORD PTR SS:[EBP+8]
  026AF22B      3BC7          CMP EAX,EDI
  026AF22D  |.  77 06         JA SHORT 026AF235
  026AF22F  |.  FF15 CC306B02 CALL DWORD PTR DS:[<&MSVCP60.?_Xlen@std@@YAXXZ>] ;  MSVCP60.?_Xlen@std@@YAXXZ
  026AF235  |>  85FF          TEST EDI,EDI                                     ;  判断字串长度是否等于0
  026AF237  |.  76 43         JBE SHORT 026AF27C
  026AF239  |.  8B5D 08       MOV EBX,DWORD PTR SS:[EBP+8]
  026AF23C  |.  6A 00         PUSH 0
  026AF23E  |.  03DF          ADD EBX,EDI                                      ;  地址字串长度或指令+地址字串长度送到 EBX
  026AF240  |.  8BCD          MOV ECX,EBP
  026AF242  |.  53            PUSH EBX
  026AF243  |.  FF15 C0306B02 CALL DWORD PTR DS:[<&MSVCP60.?_Grow@?$basic_stri>;  MSVCP60.?_Grow@?$basic_string@DU?$char_traits@D@std@@V?$allocator@D@2@@std@@AAE_NI_N@Z
  026AF249  |.  84C0          TEST AL,AL
  026AF24B  |.  74 2F         JE SHORT 026AF27C
  026AF24D      8B76 04       MOV ESI,DWORD PTR DS:[ESI+4]                     ;  [ESI+4]中就是转换后的地址字串
  026AF250      85F6          TEST ESI,ESI
  026AF252  |.  75 06         JNZ SHORT 026AF25A
  026AF254  |.  8B35 1C316B02 MOV ESI,DWORD PTR DS:[<&MSVCP60.?_C@?1??_Nullstr>;  MSVCP60.?_C@?1??_Nullstr@?$basic_string@DU?$char_traits@D@std@@V?$allocator@D@2@@std@@CAPBDXZ@4DB
  026AF25A      8B45 04       MOV EAX,DWORD PTR SS:[EBP+4]                     ;  这里改成跳到我们的补丁代码处执行
  026AF25D      8BCF          MOV ECX,EDI
  026AF25F  |.  8B7D 08       MOV EDI,DWORD PTR SS:[EBP+8]
  026AF262  |.  03F8          ADD EDI,EAX
  026AF264  |.  8BC1          MOV EAX,ECX
  026AF266  |.  C1E9 02       SHR ECX,2
  026AF269  |.  F3:A5         REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI]
  026AF26B  |.  8BC8          MOV ECX,EAX
  026AF26D  |.  83E1 03       AND ECX,3
  026AF270  |.  F3:A4         REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
  ----------------------------------------------------------------------------------------------------------
  从上面可以看出，程序是调用了 STL 模板库中的标准函数把地址的 DWORD 转成了字串，不过后面没对转换后字串的第一个字符是否位于“a”到“f”间作判断，就直接拿来用了。导致会出现我们开始时提到的那个错误。现在我们只要加上这个判断，如果第一个字符在“a”到“f”之间，我们就在字串前面插一个“0”字符。这里就偷个懒，直接判断第一个字符是否大于字符“9”，如果大于则在字串前面插一个“0”字符。找一个空白地方写我们的代码，我这把补丁代码放在 RVA 125C0 处。根据程序在我这重定位后的基址，我在 VA 026B25C0 处写补丁代码。先把上面地址 026AF25A 处的代码改为跳到我们的补丁代码处执行：
  ----------------------------------------------------------------------------------------------------------
  修改后代码：
  026AF25A      E9 61330000   JMP 026B25C0                                     ;  这里改成跳到我们的补丁代码处执行
  026AF25F  |.  8B7D 08       MOV EDI,DWORD PTR SS:[EBP+8]
  ----------------------------------------------------------------------------------------------------------
  要写的补丁代码：
  026B25C0      60            PUSHAD                                           ;  保护现场
  026B25C1      9C            PUSHFD
  026B25C2      803E 39       CMP BYTE PTR DS:[ESI],39                         ;  第一个字符是否大于9
  026B25C5      7F 0C         JG SHORT 026B25D3                                ;  大于9则处理，否则返回
  026B25C7      9D            POPFD
  026B25C8      61            POPAD
  026B25C9      8B45 04       MOV EAX,DWORD PTR SS:[EBP+4]
  026B25CC      8BCF          MOV ECX,EDI
  026B25CE    ^ E9 8CCCFFFF   JMP 026AF25F
  026B25D3      C6443E 01 00  MOV BYTE PTR DS:[ESI+EDI+1],0                    ;  地址字串最后面添加一个0字节
  026B25D8      8A443E FF     MOV AL,BYTE PTR DS:[ESI+EDI-1]
  026B25DC      88043E        MOV BYTE PTR DS:[ESI+EDI],AL                     ;  这里依次把地址字串的字符向后移一位，以便我们在字串开始的地方插一个0
  026B25DF      4F            DEC EDI
  026B25E0      83FF 00       CMP EDI,0                                        ;  判断字串是否都已移完
  026B25E3    ^ 75 F3         JNZ SHORT 026B25D8
  026B25E5      C606 30       MOV BYTE PTR DS:[ESI],30                         ;  在地址字串前面加一个字符0
  026B25E8      9D            POPFD
  026B25E9      61            POPAD
  026B25EA      43            INC EBX                                          ;  指令字串总长度加1
  026B25EB      47            INC EDI                                          ;  地址字串长度加1
  026B25EC      8B45 04       MOV EAX,DWORD PTR SS:[EBP+4]                     ;  恢复原始代码并返回继续执行
  026B25EF      8BCF          MOV ECX,EDI
  026B25F1    ^ E9 69CCFFFF   JMP 026AF25F                                     ;  返回到原程序的下一句代码继续执行
  
  附件是 dup 制作的补丁，可以直接对 SkyPatch 1.1 进行 patch 修正 bug。
  
--------------------------------------------------------------------------------
【版权声明】: 本文纯属技术交流, 转载请注明作者并保持文章的完整, 谢谢!

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课