c++ - 函数的转储内存

Question

我想将函数内存 (void) 转储到字节数组 (unsinged char[])。之后，将一个伪函数指向字节数组并执行伪函数。

我要转储的函数:

void CallMessageBoxExA()
{
    message = "ManualMessageBoxExA";
    caption = "Caption";
    pAddr = GetProcAddress(GetModuleHandle(L"User32.dll"), "MessageBoxExA");

    __asm // Call MessageBoxA
    {
        push dword ptr 0 //--- push languageID: 0
        push dword ptr 0 //--- push style: 0
        push dword ptr caption //--- push DWORD parameter (caption)
        push dword ptr message //--- push DWORD parameter (message)
        push dword ptr 0 //--- push hOwner: 0
        mov eax, pAddr
        call eax //-- call address of the function, which is currently in EAX
    }
}

转储内存:

string DumpMemory(void *pAddress, int maxLength)
{
    string result = "";
    const unsigned char * p = reinterpret_cast< const unsigned char *>(pAddress);
    cout << "Memory location: 0x" << hex << (unsigned int)p << endl;
    for (unsigned int i = 0; i < maxLength; i++) {
        string code = "";
        stringstream ss;
        ss << hex << int(p[i]);
        ss >> code;
        result += code;
    }
    return result;
}

当查看内存位置 DumpMemory 打印到控制台时，ollydbg 在此位置显示 JMP 指令:

CPU Disasm
Address   Hex dump          Command                                  Comments
00281627   $-/E9 044C0000   JMP CallMessageBoxExA

这是正确的内存位置，还是我必须遵循 JMP？

内存位置跳转导致:

CPU Disasm
Address   Hex dump          Command                                  Comments
00286230  /$  55            PUSH EBP                                 ; ASM.CallMessageBoxExA(void)
00286231  |.  8BEC          MOV EBP,ESP
00286233  |.  81EC C0000000 SUB ESP,0C0
00286239  |.  53            PUSH EBX
0028623A  |.  56            PUSH ESI
0028623B  |.  57            PUSH EDI
0028623C  |.  8DBD 40FFFFFF LEA EDI,[EBP-0C0]
00286242  |.  B9 30000000   MOV ECX,30
00286247  |.  B8 CCCCCCCC   MOV EAX,CCCCCCCC
0028624C  |.  F3:AB         REP STOS DWORD PTR ES:[EDI]
0028624E  |.  C705 A8562900 MOV DWORD PTR DS:[message],OFFSET 00291D ; ASCII "ManualMessageBoxExA"
00286258  |.  C705 AC562900 MOV DWORD PTR DS:[caption],OFFSET 00291D ; ASCII "Caption"
00286262  |.  8BF4          MOV ESI,ESP
00286264  |.  68 041E2900   PUSH OFFSET 00291E04                     ; ASCII "MessageBoxExA"
00286269  |.  8BFC          MOV EDI,ESP
0028626B  |.  68 D01D2900   PUSH OFFSET 00291DD0                     ; /ModuleName = "User32.dll"
00286270  |.  FF15 00602900 CALL DWORD PTR DS:[<&KERNEL32.GetModuleH ; \KERNEL32.GetModuleHandleW
00286276  |.  3BFC          CMP EDI,ESP
00286278  |.  E8 5BB2FFFF   CALL 002814D8                            ; [_RTC_CheckEsp
0028627D  |.  50            PUSH EAX                                 ; |hModule
0028627E  |.  FF15 04602900 CALL DWORD PTR DS:[<&KERNEL32.GetProcAdd ; \KERNEL32.GetProcAddress
00286284  |.  3BF4          CMP ESI,ESP
00286286  |.  E8 4DB2FFFF   CALL 002814D8                            ; [_RTC_CheckEsp
0028628B  |.  A3 B0562900   MOV DWORD PTR DS:[pAddr],EAX
00286290  |.  6A 00         PUSH 0
00286292  |.  6A 00         PUSH 0
00286294  |.  FF35 AC562900 PUSH DWORD PTR DS:[caption]
0028629A  |.  FF35 A8562900 PUSH DWORD PTR DS:[message]
002862A0  |.  6A 00         PUSH 0
002862A2  |.  A1 B0562900   MOV EAX,DWORD PTR DS:[pAddr]
002862A7  |.  FFD0          CALL EAX
002862A9  |.  5F            POP EDI
002862AA  |.  5E            POP ESI
002862AB  |.  5B            POP EBX
002862AC  |.  81C4 C0000000 ADD ESP,0C0
002862B2  |.  3BEC          CMP EBP,ESP
002862B4  |.  E8 1FB2FFFF   CALL 002814D8                            ; [_RTC_CheckEsp
002862B9  |.  8BE5          MOV ESP,EBP
002862BB  |.  5D            POP EBP
002862BC  \.  C3            RETN

将虚拟函数指向字节数组:

void(*func_ptr)();
func_ptr = (void(*)()) &foo[0]; // make function point to foo[]
(*func_ptr)(); // Call the function

这是使虚拟函数指向字节数组的正确方法吗？

函数在哪一点结束？我是否应该简单地检查不同的返回操作码(C3 -> 返回调用者附近，CB -> 返回调用者远处，...)？

附言: 因为我是 C++ 的新手，所以首选一个简单的(例如不是很复杂的)解决方案。

编辑:我想在 Windows 环境中实现这一点。

Answer 1

您需要将“复制的”函数存储在使用 VirtualAllocEx 分配的内存块上。在现代操作系统上，每个页面上都有一个位声明其内容是否可执行。这用于最小化缓冲区溢出的损害。默认情况下，您的内存不可执行。如果您将 VirtualAllocEx 与 PAGE_EXECUTE_READWRITE 保护模式一起使用，您将能够写入一 block 内存，然后从中执行。

至于你的“什么时候到达一个函数的末尾”这个问题，其实是无法回答的。您可以查找一些常见模式，但 x86 缺少任何识别函数“结束”的方法。