Как перевести этот код с C++?

Question

[sddvxd]

Добрый день!

Есть функция для смены адреса функции в разделе импорта PE файла:

Процедура из класса

PROC replaceProcAddress(LPCSTR callerModule, PROC original, PROC swap){
    HMODULE callerHandle = GetModuleHandleA(callerModule);
    if(callerHandle == nullptr)
        throw Exception(L"callerHandle is NULL in Process::replaceProcAddress");

    ULONG size;
    bool found = false;
    PIMAGE_IMPORT_DESCRIPTOR pImageDesc = reinterpret_cast<PIMAGE_IMPORT_DESCRIPTOR>(ImageDirectoryEntryToData(callerHandle, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &size));
    if(pImageDesc == nullptr)
        throw Exception(L"PIMAGE_IMPORT_DESCRIPTOR is NULL in Process::replaceProcAddress()");

    for(; pImageDesc->Name; pImageDesc++){
        PSTR pModName = reinterpret_cast<PSTR>(reinterpret_cast<PBYTE>(callerHandle) + pImageDesc->Name);
            PIMAGE_THUNK_DATA pThunkData = reinterpret_cast<PIMAGE_THUNK_DATA>(reinterpret_cast<PBYTE>(callerHandle) + pImageDesc->FirstThunk);
            for(; pThunkData->u1.Function; pThunkData++){
                PROC* ppOriginalFunc = reinterpret_cast<PROC*>(&pThunkData->u1.Function);
                if(*ppOriginalFunc == original){
                    found = true;
                    DWORD dwOldProtect;
                    if(VirtualProtect(ppOriginalFunc, sizeof(swap), PAGE_WRITECOPY, &dwOldProtect)){
                        if(!WriteProcessMemory(getHandle(), ppOriginalFunc, &swap, sizeof(swap), NULL))
                            throw Exception(L"Write memory is failed for replaceProcAddress");
                        VirtualProtect(ppOriginalFunc, sizeof(swap), dwOldProtect, &dwOldProtect);
                    }
                }
            }
    }
    if(found) return swap;
    throw Exception(L"Address of procedure is not found in Process::replaceProcAddress()");
}

Пытаюсь переписать его на NASM. Первая итерация проходит успешно: я в отладчике могу увидеть имя dll файла. Со второй итерации происходит урезание/коверканье имен (что-то идет не так)

Процедура на NASM

replace_function: ; stdcall
	push ebp
	mov ebp, esp
	
	sub esp, 16 ; base handle - 4, size of IMAGE_IMPORT_DESCRIPTOR - 8,
				; PIMAGE_IMPORT_DESCRIPTOR - 12, PIMAGE_THUNK_DATA - 16
	
	push 0
	call _GetModuleHandleA@4
	test eax, eax
	jz .end
	
	mov [ebp - 4], eax
	mov ebx, [ebp - 8]
	
	push ebx
	push IMAGE_DIRECTORY_ENTRY_IMPORT
	push TRUE
	push eax
	call _ImageDirectoryEntryToData@16
	test eax, eax
	jz .end_not_found
	mov [ebp - 12], eax ; PIMAGE_IMPORT_DESCRIPTOR
	
	mov ebx, [ebp - 4]
	
.next_struct:
	mov ecx, [eax + 12] ; PIMAGE_IMPORT_DESCRIPTOR + 12 (Name of module pointer) and get RVA
	test ecx, ecx
	jz .end_not_found
	lea ecx, [ecx + ebx]

	mov ecx, [eax + 16] ; PIMAGE_IMPORT_DESCRIPTOR + 16 (Pointer to FirstThunk structure) and get RVA
	lea edx, [ebx + ecx + 4] ; add FirstThunk RVA to base. Offset &function is 4
.loop1:
	mov esi, [edx] ; FirstThunk->Function
	cmp esi, [ebp + 8]
	je .found
	lea edx, [edx + 20] ;size of IMAGE_THUNK_DATA
	test esi, esi
	jne .loop1
	lea ebx, [ebx + 20] ;size of IMAGE_IMPORT_DESCRIPTOR
	jmp .next_struct
	
.end:
	mov esp, ebp
	pop ebp
	ret
	
.end_not_found:
	mov eax, 0 ; not found value
	jmp .end
	
.found:
	mov eax, ecx
	jmp .end

Несколько дней голову ломаю - в чем может быть проблема. Вот структуры IMAGE_IMPORT_DESCRIPTOR и IMAGE_THUNK_DATA

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
	union {
			 DWORD Characteristics; // 0 for terminating null import descriptor
			 DWORD OriginalFirstThunk; // RVA to original unbound IAT
	 };
	 DWORD TimeDateStamp; // 0 if not bound,
	 // -1 if bound, and real date\time stamp
	 // in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new)
	 // O.W. date/time stamp of DLL bound to (old)
	 DWORD ForwarderChain; // -1 if no forwarders
	 DWORD Name;
	 DWORD FirstThunk; // RVA to IAT
	} IMAGE_IMPORT_DESCRIPTOR;
typedef struct _IMAGE_THUNK_DATA32 {
	union {
		 DWORD ForwarderString;
		 DWORD Function;
		 DWORD Ordinal;
		 DWORD AddressOfData;
	 } u1;
 } IMAGE_THUNK_DATA32,*PIMAGE_THUNK_DATA32;

Функция на NASM не дописана, из-за этой ошибки с неправильным проходом по памяти
Буду очень благодарен за любую помощь!

Answer 1

[jcmvbkbc]

Как перевести этот код с C++?

И, главное, зачем? И чем для этой цели не подошёл компилятор С++?

mov ebx, [ebp - 8]

Нифига не mov, должно быть lea ebx, [ebp - 8]

lea edx, [ebx + ecx + 4] ; add FirstThunk RVA to base. Offset &function is 4

Нифига +4 не нужно. Смещение &function == 0.

lea edx, [edx + 20] ;size of IMAGE_THUNK_DATA

Нифига не +20, размер этой структуры -- 4.

Comments

[sddvxd]

И, главное, зачем? И чем для этой цели не подошёл компилятор С++?

Практикуюсь на NASM. Такой-же вопрос задавал себе, когда писал на C++, думая, что изучение C мне никак не поможет

Нифига не mov, должно быть lea ebx, [ebp - 8]

Почему же? ebp указывает на стек. Проведя эту операцию, я лишь получу указатель на указатель на IMAGE_IMPORT_DESCRIPTOR, а мне нужен просто указатель, тем-более проблем с этим кодом нет

Нифига +4 не нужно. Смещение &function == 0.

Ай блин, точно

Нифига не +20, размер этой структуры -- 4.

Огромнешнее спасибо. Невнимательность. Я то думаю, почему у меня всего несколько функций в разделе импорта KERNEL32, что бы я без вас делал

[jcmvbkbc]

Почему же? ebp указывает на стек. Проведя эту операцию, я лишь получу указатель на указатель на IMAGE_IMPORT_DESCRIPTOR, а мне нужен просто указатель, тем-более проблем с этим кодом нет

Проблема с тем, что в твоих листингах нет номеров строк. Давай ещё раз, я тебе помогу:

1    replace_function: ; stdcall
     2    push ebp
     3    mov ebp, esp
     4    
     5    sub esp, 16 ; base handle - 4, size of IMAGE_IMPORT_DESCRIPTOR - 8,
     6          ; PIMAGE_IMPORT_DESCRIPTOR - 12, PIMAGE_THUNK_DATA - 16
     7    
     8    push 0
     9    call _GetModuleHandleA@4
    10    test eax, eax
    11    jz .end
    12    
    13    mov [ebp - 4], eax
    14    mov ebx, [ebp - 8]
    15    
    16    push ebx
    17    push IMAGE_DIRECTORY_ENTRY_IMPORT
    18    push TRUE
    19    push eax
    20    call _ImageDirectoryEntryToData@16

ну так вот, в строке 14 должно быть lea вместо mov, а иначе ты попросил ImageDirectoryEntryToData записать 4 байта size по случайному адресу.

[sddvxd]

jcmvbkbc, теперь понял. спасибо, это действительно так