asm stringhe

[Q_Q]

codice originale
-> jump al mio (parte di codice originale cancellato)
pushad
mio codice
popad
la parte del codice originale che è andato perso per fare il jump l'ho messo qui
-> jump al codice originale
codice originale <- qui fa errore

credo ci sia un problema con i registri:

quello in giallo è quando fa il jump originale->miocodice
quello sotto è da miocodice->originale
usando pushad e popad non dovrebbero essere uguali quando entra e quando esce?

Edit:
Così tutto ok:

	push 0x00
	push 0xFF
	push ebp 
	call RtlFillMemory
	
	push 0x40
	push 0xFe
	push ebp 
	call RtlFillMemory  
	
	push 0x41
	push 0x30
	push ebp 
	call RtlFillMemory 

	push 0x42
	push 0x20
	push ebp 
	call RtlFillMemory	
			
	jmp @Test

questo da buffer overrun... anche cambiando 0xff con meno

	push 0x3
	push @TestYes
	push 0xff
	push ebp 
	call memcpy_s
	test eax, eax            ; test if eax=0	
	jnz @No	; Zero if successful; an error code on failure.
			
	jmp @Test

[Daniels118]

usando pushad e popad non dovrebbero essere uguali quando entra e quando esce?

Si... non ho guardato ancora il codice nel dettaglio, però se nel mezzo hai chiamato push un numero di volte diverso da pop o hai passato il numero di parametri errato ad una call è normale che poi popad non ripristina gli stessi valori salvati con pushad.
Controlla che tutte le call siano corrette, se non riesci a risolvere vedo di approfondire.

[Q_Q]

memcpy_s(
   void *dest,
   size_t numberOfElements,
   const void *src,
   size_t count 
);

	push 0x3
	push @TestYes
	push 0xff
	push ebx 
	call memcpy_s
	test eax, eax            ; test if eax=0	
	jnz @No	; Zero if successful; an error code on failure.
	
	jmp @Test

MSVCR100.memcpy_s -> buffer overrun
msvcrt.memcpy_s -> INT 3
ntdll.memcpy_s -> INT 3

senza non crasha

[Daniels118]

Mi sembra abbastanza strano, potresti provare con CopyMemory invece di memcpy_s? Assicurati anche con il debugger che ebp contenga sempre l'indirizzo restituito da HeapAlloc.

[Q_Q]

CopyMemory is defined in ntdll.dll as RtlCopyMemory. It points to the same function as RtlMoveMemory..

mIrc non importa CopyMemory ma c'è RtlMoveMemory da kernel32 quindi ho usato quello... Crasha dando previleged instruction.
Usando call ntdll.RtlMoveMemory invece funziona tutto senza crash

Alcuni registri cambiano a caso quando chiamo fillmemory ma quelli con il puntatore no quindi non è quello

Ho modificato così pastebin ora funziona tutto

Comunque non capisco perchè va solo ntdll.RtlMoveMemory, che può essere

[Daniels118]

Alcuni registri cambiano a caso quando chiamo fillmemory ma quelli con il puntatore no quindi non è quello

Dipende dalle convenzioni di chiamata, la conservazione di alcuni registri è a carico del chiamate e di altri a carico del chiamato.

Comunque non capisco perchè va solo ntdll.RtlMoveMemory, che può essere

Forse memcpy_s usa cdecl, se ti va di provare rimetti com'era prima ed aggiungi la seguente istruzione subito dopo la call:

add esp, 16

[Q_Q]

Crasha

	push 0x3
	push @TestYes
	push 0xff
	push edx 
	call ntdll.memcpy_s
	add esp, 16
	test eax, eax            ; test if eax=0	
	jnz @No	; Zero if successful; an error code on failure.
	jmp @Test
.
.
.
@Fine2:
	pop ecx ; recupero

	push ebx
	push 0
	push ecx
	call RtlFreeHeap	 <- crash
	test eax, eax            ; test if eax=0	
	jnz @Fine ; If the function succeeds, the return value is nonzero.
	jmp @No

prò così no

	push 0x3
	push @TestYes
	push 0xff
	push edx 
	call ntdll.memcpy_s
	;------------
	test eax, eax            ; test if eax=0	
	jnz @No	; Zero if successful; an error code on failure.
	jmp @Test	
.
.
.
@Fine2:
	pop ecx ; recupero
	pop ecx ; recupero
	pop ecx ; recupero
	pop ecx ; recupero
	pop ecx ; recupero

	push ebx
	push 0
	push ecx
	call RtlFreeHeap	<-- no crash
	test eax, eax            ; test if eax=0	
	jnz @Fine ; If the function succeeds, the return value is nonzero.
	jmp @No

[Daniels118]

Anche se metti i 4 pop dopo la call?

[Q_Q]

	push 0x3
	push @TestYes
	push 0xff
	push edx 
	call ntdll.memcpy_s
	pop ecx
	pop ecx
	pop ecx
	pop ecx

Dici così ?
Non crasha...

con add esp, 16 crasha dando DATATYPE_MISALIGNEMENT

edit:
ahhhhhhhhhhhhhhhhh san gennaro
add esp, 16 -> lo vede come 0x16
messo 10 ora va

in pratica il problema era cdecl invece di stdcall ?

[Daniels118]

add esp, 16 -> lo vede come 0x16

Beh, meno male che te ne sei accorto, senza debugger ci avrei messo secoli per arrivarci!

in pratica il problema era cdecl invece di stdcall ?

Esattamente! La convenzione di chiamata cdecl prevede che sia il chiamante a rimuovere i parametri dallo stack dopo la call... non capisco per quale assurdo criterio qualcuno dovrebbe mischiare due standard di chiamata nella stessa libreria, ma alla microsoft avranno trovato sicuramente un motivo valido

[Q_Q]

Eccoti 5000 internet per l'aiuto
Comincia a piacermi l'asm, ora mi cerco qualche guida da 0

[Daniels118]

Grazie, sei molto gentile, sto provando a prenderla ma è rimaso uno strano segno circolare color arcobaleno sul monitor

[Q_Q]