免費論壇 繁體 | 簡體
Sclub交友聊天~加入聊天室當版主
分享
新浪微博
QQ空间
Facebook
Google+
Plurk
Twitter
Line
Board logo

标题: 通用inline hook 的详解以及代码的编写 [打印本页]
作者: forwe    时间: 2013-8-7 22:10     标题: 通用inline hook 的详解以及代码的编写

Driver.h
  1. #ifdef __cplusplus
  2. extern "C"
  3. {
  4. #endif
  5. #include <ntddk.h>
  6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);

  8. #ifdef __cplusplus
  9. }
  10. #endif

  12. #include "ade32.h"

  14. #define PAGEDCODE code_seg("PAGE")
  15. #define LOCKEDCODE code_seg()
  16. #define INITCODE code_seg("INIT")

  18. #define PAGEDDATA data_seg("PAGE")
  19. #define LOCKEDDATA data_seg()
  20. #define INITDATA data_seg("INIT")

  22. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))

  24. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);

  26. EXTERN_C NTKERNELAPI NTSTATUS NtOpenProcess (
  27.         __out PHANDLE ProcessHandle,
  28.         __in ACCESS_MASK DesiredAccess,
  29.         __in POBJECT_ATTRIBUTES ObjectAttributes,
  30.         __in_opt PCLIENT_ID ClientId
  31.         );

  33. void HookHandleNtOpenProcess(BOOLEAN bUnHook);
  34. void WriteJump(ULONG uHookAddr, ULONG uJumpAddr);

  36. NTSTATUS MyNtOpenProcess (
  37.                                                   __out PHANDLE ProcessHandle,
  38.                                                   __in ACCESS_MASK DesiredAccess,
  39.                                                   __in POBJECT_ATTRIBUTES ObjectAttributes,
  40.                                                   __in_opt PCLIENT_ID ClientId
  41.                                                   );

  43. typedef NTSTATUS (*pNtOpenProcess) (
  44.                                                 __out PHANDLE ProcessHandle,
  45.                                                 __in ACCESS_MASK DesiredAccess,
  46.                                                 __in POBJECT_ATTRIBUTES ObjectAttributes,
  47.                                                 __in_opt PCLIENT_ID ClientId
  48.                                                 );
复制代码
Driver.cpp
  1. #include "Driver.h"


  4. UCHAR szBackupNtOpenProcess[16];
  5. UCHAR szRealNtOpenProcess[16];
  6. ULONG uHookAddr;

  8. void PageProtectOn()
  9. {
  10.         //恢复内存保护
  11.         __asm
  12.         {
  13.                 mov eax, cr0
  14.                 or eax, 10000h
  15.                 mov cr0, eax
  16.                 sti
  17.         }
  18. }

  20. void PageProtectOff()
  21. {
  22.         //去掉内存保护
  23.         __asm
  24.         {
  25.                 cli
  26.                 mov eax, cr0
  27.                 and eax, not 10000h
  28.                 mov cr0, eax
  29.         }
  30. }

  32. void WriteJump(ULONG uHookAddr, ULONG uJumpAddr)
  33. {
  34.         UCHAR szBuffer[5] = {0};

  36.         szBuffer[0] = 0xe9;
  37.         *(PULONG)&szBuffer[1] = uJumpAddr - uHookAddr - 5;

  39.         KIRQL OldIrql = KeRaiseIrqlToDpcLevel();

  41.         PageProtectOff();
  42.        
  43.         RtlMoveMemory((VOID*)uHookAddr, szBuffer, 5);

  45.         PageProtectOn();

  47.         KeLowerIrql(OldIrql);
  48. }


  51. NTSTATUS MyNtOpenProcess (
  52.                                                 __out PHANDLE ProcessHandle,
  53.                                                 __in ACCESS_MASK DesiredAccess,
  54.                                                 __in POBJECT_ATTRIBUTES ObjectAttributes,
  55.                                                 __in_opt PCLIENT_ID ClientId
  56.                                                 )
  57. {
  58.         KdPrint(("MyNtOpenProcess\n"));
  59.         return ((pNtOpenProcess)&szRealNtOpenProcess)(ProcessHandle, DesiredAccess, ObjectAttributes, ClientId);
  60. }





  66. void HookHandleNtOpenProcess(BOOLEAN bHook)
  67. {
  68.         if (bHook)
  69.         {
  70.                 uHookAddr = (ULONG)NtOpenProcess;

  72.                 ULONG uHookLength = MeasureCodeLength((PVOID)uHookAddr, 5);
  73.                 memcpy(szBackupNtOpenProcess, (PVOID)uHookAddr, uHookLength);
  74.                 memcpy(szRealNtOpenProcess, (PVOID)uHookAddr, uHookLength);

  76.                 WriteJump((ULONG)szRealNtOpenProcess + uHookLength, uHookAddr + uHookLength);
  77.                 WriteJump(uHookAddr, (ULONG)MyNtOpenProcess);


  80.         }
  81.         else
  82.         {
  83.                 KIRQL OldIrql = KeRaiseIrqlToDpcLevel();

  85.                 PageProtectOff();

  87.                 RtlMoveMemory((VOID*)uHookAddr, szBackupNtOpenProcess, 5);

  89.                 PageProtectOn();

  91.                 KeLowerIrql(OldIrql);
  92.         }
  93. }


  96. #pragma INITCODE
  97. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
  98. {
  99.   NTSTATUS status = STATUS_SUCCESS;

  101.   HookHandleNtOpenProcess(TRUE);
  102.   DriverObject->DriverUnload = DriverUnload;
  103.   return status;
  104. }

  106. #pragma PAGEDCODE
  107. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
  108. {
  109.   HookHandleNtOpenProcess(FALSE);
  110.   KdPrint(("DriverEntry unLoading...\n"));
  111.   
  112. }
复制代码
ade32.h
  1. #ifndef _ADE32_H_
  2. #define _ADE32_H_

  4. ULONG MeasureCodeLength(IN PVOID FuncPtr, IN ULONG NeedLength);

  6. #endif _ADE32_H_
复制代码
ade32.cpp
  1. // ADE32 2.03c -- advanced 16/32-bit opcode assembler/disassembler engine

  3. // this stuff is used to get instruction length and parse it into
  4. // prefix, opcode, modregr/m, address, immediate, etc.

  6. #include <ntddk.h>
  7. //#include <pn3misc.h>
  8. #include "ade32.h"

  10. //指令特征
  11. #define C_ERROR   0xFFFFFFFF
  12. #define C_ADDR1   0x00000001 //操作码中地址大小的位字段(字节)
  13. #define C_ADDR2   0x00000002
  14. #define C_ADDR4   0x00000004 //(双字)
  15. #define C_LOCK    0x00000008 //加锁前缀
  16. #define C_67      0x00000010 //地址大小修饰前缀(16/32位)
  17. #define C_66      0x00000020 //操作数大小修饰前缀(16/32位)
  18. #define C_REP     0x00000040 //重复前缀
  19. #define C_SEG     0x00000080 //段寄存器前缀
  20. #define C_ANYPREFIX  (C_66+C_67+C_LOCK+C_REP+C_SEG)
  21. #define C_DATA1   0x00000100 //操作码中数据大小的位字段
  22. #define C_DATA2   0x00000200
  23. #define C_DATA4   0x00000400
  24. #define C_SIB     0x00000800 //SIB字节
  25. #define C_ADDR67  0x00001000 //地址字节数为disasm_defaddr
  26. #define C_DATA66  0x00002000 //数据字节数为disasm_defdata
  27. #define C_MODRM   0x00004000 //MODRM字节
  28. #define C_BAD     0x00008000
  29. #define C_OPCODE2 0x00010000 //操作码第二个字节
  30. #define C_REL     0x00020000 // 这是跳转指令jxx或者call
  31. #define C_STOP    0x00040000 // 这是回跳指令，ret或者jmp
  32. //指令信息
  33. typedef struct _disasm_struct
  34. {
  35.         UCHAR disasm_defaddr;         // 00
  36.         UCHAR disasm_defdata;         // 01
  37.         ULONG disasm_len;             // 02 03 04 05
  38.         ULONG disasm_flag;            // 06 07 08 09
  39.         ULONG disasm_addrsize;        // 0A 0B 0C 0D
  40.         ULONG disasm_datasize;        // 0E 0F 10 11
  41.         UCHAR disasm_rep;             // 12
  42.         UCHAR disasm_seg;             // 13
  43.         UCHAR disasm_opcode;          // 14
  44.         UCHAR disasm_opcode2;         // 15
  45.         UCHAR disasm_modrm;           // 16
  46.         UCHAR disasm_sib;             // 17
  47.         //地址
  48.         union
  49.         {
  50.                 UCHAR  disasm_addr_b[8];       // 18 19 1A 1B  1C 1D 1E 1F
  51.                 USHORT  disasm_addr_w[4];
  52.                 ULONG disasm_addr_d[2];
  53.                 char  disasm_addr_c[8];
  54.                 short disasm_addr_s[4];
  55.                 long  disasm_addr_l[2];
  56.         };
  57.         //数据
  58.         union
  59.         {
  60.                 UCHAR  disasm_data_b[8];       // 20 21 22 23  24 25 26 27
  61.                 USHORT  disasm_data_w[4];
  62.                 ULONG disasm_data_d[2];
  63.                 char  disasm_data_c[8];
  64.                 short disasm_data_s[4];
  65.                 long  disasm_data_l[2];
  66.         };
  67. } disasm_struct;
  68. //按操作码从0x00开始排列，每一行代表一个操作
  69. //码对应的指令特征的集合
  70. ULONG ade32_table[512] = {
  71.         /* 00 */  C_MODRM,
  72.         /* 01 */  C_MODRM,
  73.         /* 02 */  C_MODRM,
  74.         /* 03 */  C_MODRM,
  75.         /* 04 */  C_DATA1,
  76.         /* 05 */  C_DATA66,
  77.         /* 06 */  C_BAD,
  78.         /* 07 */  C_BAD,
  79.         /* 08 */  C_MODRM,
  80.         /* 09 */  C_MODRM,
  81.         /* 0A */  C_MODRM,
  82.         /* 0B */  C_MODRM,
  83.         /* 0C */  C_DATA1,
  84.         /* 0D */  C_DATA66,
  85.         /* 0E */  C_BAD,
  86.         /* 0F */  C_OPCODE2,
  87.         /* 10 */  C_MODRM+C_BAD,
  88.         /* 11 */  C_MODRM,
  89.         /* 12 */  C_MODRM+C_BAD,
  90.         /* 13 */  C_MODRM,
  91.         /* 14 */  C_DATA1+C_BAD,
  92.         /* 15 */  C_DATA66+C_BAD,
  93.         /* 16 */  C_BAD,
  94.         /* 17 */  C_BAD,
  95.         /* 18 */  C_MODRM+C_BAD,
  96.         /* 19 */  C_MODRM,
  97.         /* 1A */  C_MODRM,
  98.         /* 1B */  C_MODRM,
  99.         /* 1C */  C_DATA1+C_BAD,
  100.         /* 1D */  C_DATA66+C_BAD,
  101.         /* 1E */  C_BAD,
  102.         /* 1F */  C_BAD,
  103.         /* 20 */  C_MODRM,
  104.         /* 21 */  C_MODRM,
  105.         /* 22 */  C_MODRM,
  106.         /* 23 */  C_MODRM,
  107.         /* 24 */  C_DATA1,
  108.         /* 25 */  C_DATA66,
  109.         /* 26 */  C_SEG+C_BAD,
  110.         /* 27 */  C_BAD,
  111.         /* 28 */  C_MODRM,
  112.         /* 29 */  C_MODRM,
  113.         /* 2A */  C_MODRM,
  114.         /* 2B */  C_MODRM,
  115.         /* 2C */  C_DATA1,
  116.         /* 2D */  C_DATA66,
  117.         /* 2E */  C_SEG+C_BAD,
  118.         /* 2F */  C_BAD,
  119.         /* 30 */  C_MODRM,
  120.         /* 31 */  C_MODRM,
  121.         /* 32 */  C_MODRM,
  122.         /* 33 */  C_MODRM,
  123.         /* 34 */  C_DATA1,
  124.         /* 35 */  C_DATA66,
  125.         /* 36 */  C_SEG+C_BAD,
  126.         /* 37 */  C_BAD,
  127.         /* 38 */  C_MODRM,
  128.         /* 39 */  C_MODRM,
  129.         /* 3A */  C_MODRM,
  130.         /* 3B */  C_MODRM,
  131.         /* 3C */  C_DATA1,
  132.         /* 3D */  C_DATA66,
  133.         /* 3E */  C_SEG+C_BAD,
  134.         /* 3F */  C_BAD,
  135.         /* 40 */  0,
  136.         /* 41 */  0,
  137.         /* 42 */  0,
  138.         /* 43 */  0,
  139.         /* 44 */  C_BAD,
  140.         /* 45 */  0,
  141.         /* 46 */  0,
  142.         /* 47 */  0,
  143.         /* 48 */  0,
  144.         /* 49 */  0,
  145.         /* 4A */  0,
  146.         /* 4B */  0,
  147.         /* 4C */  C_BAD,
  148.         /* 4D */  0,
  149.         /* 4E */  0,
  150.         /* 4F */  0,
  151.         /* 50 */  0,
  152.         /* 51 */  0,
  153.         /* 52 */  0,
  154.         /* 53 */  0,
  155.         /* 54 */  0,
  156.         /* 55 */  0,
  157.         /* 56 */  0,
  158.         /* 57 */  0,
  159.         /* 58 */  0,
  160.         /* 59 */  0,
  161.         /* 5A */  0,
  162.         /* 5B */  0,
  163.         /* 5C */  C_BAD,
  164.         /* 5D */  0,
  165.         /* 5E */  0,
  166.         /* 5F */  0,
  167.         /* 60 */  C_BAD,
  168.         /* 61 */  C_BAD,
  169.         /* 62 */  C_MODRM+C_BAD,
  170.         /* 63 */  C_MODRM+C_BAD,
  171.         /* 64 */  C_SEG,
  172.         /* 65 */  C_SEG+C_BAD,
  173.         /* 66 */  C_66,
  174.         /* 67 */  C_67,
  175.         /* 68 */  C_DATA66,
  176.         /* 69 */  C_MODRM+C_DATA66,
  177.         /* 6A */  C_DATA1,
  178.         /* 6B */  C_MODRM+C_DATA1,
  179.         /* 6C */  C_BAD,
  180.         /* 6D */  C_BAD,
  181.         /* 6E */  C_BAD,
  182.         /* 6F */  C_BAD,
  183.         /* 70 */  C_DATA1+C_REL+C_BAD,
  184.         /* 71 */  C_DATA1+C_REL+C_BAD,
  185.         /* 72 */  C_DATA1+C_REL,
  186.         /* 73 */  C_DATA1+C_REL,
  187.         /* 74 */  C_DATA1+C_REL,
  188.         /* 75 */  C_DATA1+C_REL,
  189.         /* 76 */  C_DATA1+C_REL,
  190.         /* 77 */  C_DATA1+C_REL,
  191.         /* 78 */  C_DATA1+C_REL,
  192.         /* 79 */  C_DATA1+C_REL,
  193.         /* 7A */  C_DATA1+C_REL+C_BAD,
  194.         /* 7B */  C_DATA1+C_REL+C_BAD,
  195.         /* 7C */  C_DATA1+C_REL,
  196.         /* 7D */  C_DATA1+C_REL,
  197.         /* 7E */  C_DATA1+C_REL,
  198.         /* 7F */  C_DATA1+C_REL,
  199.         /* 80 */  C_MODRM+C_DATA1,
  200.         /* 81 */  C_MODRM+C_DATA66,
  201.         /* 82 */  C_MODRM+C_DATA1+C_BAD,
  202.         /* 83 */  C_MODRM+C_DATA1,
  203.         /* 84 */  C_MODRM,
  204.         /* 85 */  C_MODRM,
  205.         /* 86 */  C_MODRM,
  206.         /* 87 */  C_MODRM,
  207.         /* 88 */  C_MODRM,
  208.         /* 89 */  C_MODRM,
  209.         /* 8A */  C_MODRM,
  210.         /* 8B */  C_MODRM,
  211.         /* 8C */  C_MODRM+C_BAD,
  212.         /* 8D */  C_MODRM,
  213.         /* 8E */  C_MODRM+C_BAD,
  214.         /* 8F */  C_MODRM,
  215.         /* 90 */  0,
  216.         /* 91 */  0,
  217.         /* 92 */  0,
  218.         /* 93 */  C_BAD,
  219.         /* 94 */  C_BAD,
  220.         /* 95 */  C_BAD,
  221.         /* 96 */  C_BAD,
  222.         /* 97 */  C_BAD,
  223.         /* 98 */  C_BAD,
  224.         /* 99 */  0,
  225.         /* 9A */  C_DATA66+C_DATA2+C_BAD,
  226.         /* 9B */  0,
  227.         /* 9C */  C_BAD,
  228.         /* 9D */  C_BAD,
  229.         /* 9E */  C_BAD,
  230.         /* 9F */  C_BAD,
  231.         /* A0 */  C_ADDR67,
  232.         /* A1 */  C_ADDR67,
  233.         /* A2 */  C_ADDR67,
  234.         /* A3 */  C_ADDR67,
  235.         /* A4 */  0,
  236.         /* A5 */  0,
  237.         /* A6 */  0,
  238.         /* A7 */  0,
  239.         /* A8 */  C_DATA1,
  240.         /* A9 */  C_DATA66,
  241.         /* AA */  0,
  242.         /* AB */  0,
  243.         /* AC */  0,
  244.         /* AD */  C_BAD,
  245.         /* AE */  0,
  246.         /* AF */  C_BAD,
  247.         /* B0 */  C_DATA1,
  248.         /* B1 */  C_DATA1,
  249.         /* B2 */  C_DATA1,
  250.         /* B3 */  C_DATA1,
  251.         /* B4 */  C_DATA1,
  252.         /* B5 */  C_DATA1,
  253.         /* B6 */  C_DATA1+C_BAD,
  254.         /* B7 */  C_DATA1+C_BAD,
  255.         /* B8 */  C_DATA66,
  256.         /* B9 */  C_DATA66,
  257.         /* BA */  C_DATA66,
  258.         /* BB */  C_DATA66,
  259.         /* BC */  C_DATA66+C_BAD,
  260.         /* BD */  C_DATA66,
  261.         /* BE */  C_DATA66,
  262.         /* BF */  C_DATA66,
  263.         /* C0 */  C_MODRM+C_DATA1,
  264.         /* C1 */  C_MODRM+C_DATA1,
  265.         /* C2 */  C_DATA2+C_STOP,
  266.         /* C3 */  C_STOP,
  267.         /* C4 */  C_MODRM+C_BAD,
  268.         /* C5 */  C_MODRM+C_BAD,
  269.         /* C6 */  C_MODRM+C_DATA1,
  270.         /* C7 */  C_MODRM+C_DATA66,
  271.         /* C8 */  C_DATA2+C_DATA1,
  272.         /* C9 */  0,
  273.         /* CA */  C_DATA2+C_STOP+C_BAD,
  274.         /* CB */  C_STOP+C_BAD,
  275.         /* CC */  C_BAD,
  276.         /* CD */  C_DATA1,
  277.         /* CE */  C_BAD,
  278.         /* CF */  C_STOP+C_BAD,
  279.         /* D0 */  C_MODRM,
  280.         /* D1 */  C_MODRM,
  281.         /* D2 */  C_MODRM,
  282.         /* D3 */  C_MODRM,
  283.         /* D4 */  C_DATA1+C_BAD,
  284.         /* D5 */  C_DATA1+C_BAD,
  285.         /* D6 */  C_BAD,
  286.         /* D7 */  C_BAD,
  287.         /* D8 */  C_MODRM,
  288.         /* D9 */  C_MODRM,
  289.         /* DA */  C_MODRM,
  290.         /* DB */  C_MODRM,
  291.         /* DC */  C_MODRM,
  292.         /* DD */  C_MODRM,
  293.         /* DE */  C_MODRM,
  294.         /* DF */  C_MODRM,
  295.         /* E0 */  C_DATA1+C_REL+C_BAD,
  296.         /* E1 */  C_DATA1+C_REL+C_BAD,
  297.         /* E2 */  C_DATA1+C_REL,
  298.         /* E3 */  C_DATA1+C_REL,
  299.         /* E4 */  C_DATA1+C_BAD,
  300.         /* E5 */  C_DATA1+C_BAD,
  301.         /* E6 */  C_DATA1+C_BAD,
  302.         /* E7 */  C_DATA1+C_BAD,
  303.         /* E8 */  C_DATA66+C_REL,
  304.         /* E9 */  C_DATA66+C_REL+C_STOP,
  305.         /* EA */  C_DATA66+C_DATA2+C_BAD,
  306.         /* EB */  C_DATA1+C_REL+C_STOP,
  307.         /* EC */  C_BAD,
  308.         /* ED */  C_BAD,
  309.         /* EE */  C_BAD,
  310.         /* EF */  C_BAD,
  311.         /* F0 */  C_LOCK+C_BAD,
  312.         /* F1 */  C_BAD,
  313.         /* F2 */  C_REP,
  314.         /* F3 */  C_REP,
  315.         /* F4 */  C_BAD,
  316.         /* F5 */  C_BAD,
  317.         /* F6 */  C_MODRM,
  318.         /* F7 */  C_MODRM,
  319.         /* F8 */  0,
  320.         /* F9 */  0,
  321.         /* FA */  C_BAD,
  322.         /* FB */  C_BAD,
  323.         /* FC */  0,
  324.         /* FD */  0,
  325.         /* FE */  C_MODRM,
  326.         /* FF */  C_MODRM,
  327.         /* 00 */  C_MODRM,
  328.         /* 01 */  C_MODRM,
  329.         /* 02 */  C_MODRM,
  330.         /* 03 */  C_MODRM,
  331.         /* 04 */  C_ERROR,
  332.         /* 05 */  C_ERROR,
  333.         /* 06 */  0,
  334.         /* 07 */  C_ERROR,
  335.         /* 08 */  0,
  336.         /* 09 */  0,
  337.         /* 0A */  0,
  338.         /* 0B */  0,
  339.         /* 0C */  C_ERROR,
  340.         /* 0D */  C_ERROR,
  341.         /* 0E */  C_ERROR,
  342.         /* 0F */  C_ERROR,
  343.         /* 10 */  C_ERROR,
  344.         /* 11 */  C_ERROR,
  345.         /* 12 */  C_ERROR,
  346.         /* 13 */  C_ERROR,
  347.         /* 14 */  C_ERROR,
  348.         /* 15 */  C_ERROR,
  349.         /* 16 */  C_ERROR,
  350.         /* 17 */  C_ERROR,
  351.         /* 18 */  C_ERROR,
  352.         /* 19 */  C_ERROR,
  353.         /* 1A */  C_ERROR,
  354.         /* 1B */  C_ERROR,
  355.         /* 1C */  C_ERROR,
  356.         /* 1D */  C_ERROR,
  357.         /* 1E */  C_ERROR,
  358.         /* 1F */  C_ERROR,
  359.         /* 20 */  C_ERROR,
  360.         /* 21 */  C_ERROR,
  361.         /* 22 */  C_ERROR,
  362.         /* 23 */  C_ERROR,
  363.         /* 24 */  C_ERROR,
  364.         /* 25 */  C_ERROR,
  365.         /* 26 */  C_ERROR,
  366.         /* 27 */  C_ERROR,
  367.         /* 28 */  C_ERROR,
  368.         /* 29 */  C_ERROR,
  369.         /* 2A */  C_ERROR,
  370.         /* 2B */  C_ERROR,
  371.         /* 2C */  C_ERROR,
  372.         /* 2D */  C_ERROR,
  373.         /* 2E */  C_ERROR,
  374.         /* 2F */  C_ERROR,
  375.         /* 30 */  C_ERROR,
  376.         /* 31 */  C_ERROR,
  377.         /* 32 */  C_ERROR,
  378.         /* 33 */  C_ERROR,
  379.         /* 34 */  C_ERROR,
  380.         /* 35 */  C_ERROR,
  381.         /* 36 */  C_ERROR,
  382.         /* 37 */  C_ERROR,
  383.         /* 38 */  C_ERROR,
  384.         /* 39 */  C_ERROR,
  385.         /* 3A */  C_ERROR,
  386.         /* 3B */  C_ERROR,
  387.         /* 3C */  C_ERROR,
  388.         /* 3D */  C_ERROR,
  389.         /* 3E */  C_ERROR,
  390.         /* 3F */  C_ERROR,
  391.         /* 40 */  C_MODRM,
  392.         /* 41 */  C_MODRM,
  393.         /* 42 */  C_MODRM,
  394.         /* 43 */  C_MODRM,
  395.         /* 44 */  C_MODRM,
  396.         /* 45 */  C_MODRM,
  397.         /* 46 */  C_MODRM,
  398.         /* 47 */  C_MODRM,
  399.         /* 48 */  C_MODRM,
  400.         /* 49 */  C_MODRM,
  401.         /* 4A */  C_MODRM,
  402.         /* 4B */  C_MODRM,
  403.         /* 4C */  C_MODRM,
  404.         /* 4D */  C_MODRM,
  405.         /* 4E */  C_MODRM,
  406.         /* 4F */  C_MODRM,
  407.         /* 50 */  C_ERROR,
  408.         /* 51 */  C_ERROR,
  409.         /* 52 */  C_ERROR,
  410.         /* 53 */  C_ERROR,
  411.         /* 54 */  C_ERROR,
  412.         /* 55 */  C_ERROR,
  413.         /* 56 */  C_ERROR,
  414.         /* 57 */  C_ERROR,
  415.         /* 58 */  C_ERROR,
  416.         /* 59 */  C_ERROR,
  417.         /* 5A */  C_ERROR,
  418.         /* 5B */  C_ERROR,
  419.         /* 5C */  C_ERROR,
  420.         /* 5D */  C_ERROR,
  421.         /* 5E */  C_ERROR,
  422.         /* 5F */  C_ERROR,
  423.         /* 60 */  C_ERROR,
  424.         /* 61 */  C_ERROR,
  425.         /* 62 */  C_ERROR,
  426.         /* 63 */  C_ERROR,
  427.         /* 64 */  C_ERROR,
  428.         /* 65 */  C_ERROR,
  429.         /* 66 */  C_ERROR,
  430.         /* 67 */  C_ERROR,
  431.         /* 68 */  C_ERROR,
  432.         /* 69 */  C_ERROR,
  433.         /* 6A */  C_ERROR,
  434.         /* 6B */  C_ERROR,
  435.         /* 6C */  C_ERROR,
  436.         /* 6D */  C_ERROR,
  437.         /* 6E */  C_ERROR,
  438.         /* 6F */  C_ERROR,
  439.         /* 70 */  C_ERROR,
  440.         /* 71 */  C_ERROR,
  441.         /* 72 */  C_ERROR,
  442.         /* 73 */  C_ERROR,
  443.         /* 74 */  C_ERROR,
  444.         /* 75 */  C_ERROR,
  445.         /* 76 */  C_ERROR,
  446.         /* 77 */  C_ERROR,
  447.         /* 78 */  C_ERROR,
  448.         /* 79 */  C_ERROR,
  449.         /* 7A */  C_ERROR,
  450.         /* 7B */  C_ERROR,
  451.         /* 7C */  C_ERROR,
  452.         /* 7D */  C_ERROR,
  453.         /* 7E */  C_ERROR,
  454.         /* 7F */  C_ERROR,
  455.         /* 80 */  C_DATA66+C_REL,
  456.         /* 81 */  C_DATA66+C_REL,
  457.         /* 82 */  C_DATA66+C_REL,
  458.         /* 83 */  C_DATA66+C_REL,
  459.         /* 84 */  C_DATA66+C_REL,
  460.         /* 85 */  C_DATA66+C_REL,
  461.         /* 86 */  C_DATA66+C_REL,
  462.         /* 87 */  C_DATA66+C_REL,
  463.         /* 88 */  C_DATA66+C_REL,
  464.         /* 89 */  C_DATA66+C_REL,
  465.         /* 8A */  C_DATA66+C_REL,
  466.         /* 8B */  C_DATA66+C_REL,
  467.         /* 8C */  C_DATA66+C_REL,
  468.         /* 8D */  C_DATA66+C_REL,
  469.         /* 8E */  C_DATA66+C_REL,
  470.         /* 8F */  C_DATA66+C_REL,
  471.         /* 90 */  C_MODRM,
  472.         /* 91 */  C_MODRM,
  473.         /* 92 */  C_MODRM,
  474.         /* 93 */  C_MODRM,
  475.         /* 94 */  C_MODRM,
  476.         /* 95 */  C_MODRM,
  477.         /* 96 */  C_MODRM,
  478.         /* 97 */  C_MODRM,
  479.         /* 98 */  C_MODRM,
  480.         /* 99 */  C_MODRM,
  481.         /* 9A */  C_MODRM,
  482.         /* 9B */  C_MODRM,
  483.         /* 9C */  C_MODRM,
  484.         /* 9D */  C_MODRM,
  485.         /* 9E */  C_MODRM,
  486.         /* 9F */  C_MODRM,
  487.         /* A0 */  0,
  488.         /* A1 */  0,
  489.         /* A2 */  0,
  490.         /* A3 */  C_MODRM,
  491.         /* A4 */  C_MODRM+C_DATA1,
  492.         /* A5 */  C_MODRM,
  493.         /* A6 */  C_ERROR,
  494.         /* A7 */  C_ERROR,
  495.         /* A8 */  0,
  496.         /* A9 */  0,
  497.         /* AA */  0,
  498.         /* AB */  C_MODRM,
  499.         /* AC */  C_MODRM+C_DATA1,
  500.         /* AD */  C_MODRM,
  501.         /* AE */  C_ERROR,
  502.         /* AF */  C_MODRM,
  503.         /* B0 */  C_MODRM,
  504.         /* B1 */  C_MODRM,
  505.         /* B2 */  C_MODRM,
  506.         /* B3 */  C_MODRM,
  507.         /* B4 */  C_MODRM,
  508.         /* B5 */  C_MODRM,
  509.         /* B6 */  C_MODRM,
  510.         /* B7 */  C_MODRM,
  511.         /* B8 */  C_ERROR,
  512.         /* B9 */  C_ERROR,
  513.         /* BA */  C_MODRM+C_DATA1,
  514.         /* BB */  C_MODRM,
  515.         /* BC */  C_MODRM,
  516.         /* BD */  C_MODRM,
  517.         /* BE */  C_MODRM,
  518.         /* BF */  C_MODRM,
  519.         /* C0 */  C_MODRM,
  520.         /* C1 */  C_MODRM,
  521.         /* C2 */  C_ERROR,
  522.         /* C3 */  C_ERROR,
  523.         /* C4 */  C_ERROR,
  524.         /* C5 */  C_ERROR,
  525.         /* C6 */  C_ERROR,
  526.         /* C7 */  C_ERROR,
  527.         /* C8 */  0,
  528.         /* C9 */  0,
  529.         /* CA */  0,
  530.         /* CB */  0,
  531.         /* CC */  0,
  532.         /* CD */  C_DATA1,
  533.         /* CE */  0,
  534.         /* CF */  0,
  535.         /* D0 */  C_ERROR,
  536.         /* D1 */  C_ERROR,
  537.         /* D2 */  C_ERROR,
  538.         /* D3 */  C_ERROR,
  539.         /* D4 */  C_ERROR,
  540.         /* D5 */  C_ERROR,
  541.         /* D6 */  C_ERROR,
  542.         /* D7 */  C_ERROR,
  543.         /* D8 */  C_ERROR,
  544.         /* D9 */  C_ERROR,
  545.         /* DA */  C_ERROR,
  546.         /* DB */  C_ERROR,
  547.         /* DC */  C_ERROR,
  548.         /* DD */  C_ERROR,
  549.         /* DE */  C_ERROR,
  550.         /* DF */  C_ERROR,
  551.         /* E0 */  C_ERROR,
  552.         /* E1 */  C_ERROR,
  553.         /* E2 */  C_ERROR,
  554.         /* E3 */  C_ERROR,
  555.         /* E4 */  C_ERROR,
  556.         /* E5 */  C_ERROR,
  557.         /* E6 */  C_ERROR,
  558.         /* E7 */  C_ERROR,
  559.         /* E8 */  C_ERROR,
  560.         /* E9 */  C_ERROR,
  561.         /* EA */  C_ERROR,
  562.         /* EB */  C_ERROR,
  563.         /* EC */  C_ERROR,
  564.         /* ED */  C_ERROR,
  565.         /* EE */  C_ERROR,
  566.         /* EF */  C_ERROR,
  567.         /* F0 */  C_ERROR,
  568.         /* F1 */  C_ERROR,
  569.         /* F2 */  C_ERROR,
  570.         /* F3 */  C_ERROR,
  571.         /* F4 */  C_ERROR,
  572.         /* F5 */  C_ERROR,
  573.         /* F6 */  C_ERROR,
  574.         /* F7 */  C_ERROR,
  575.         /* F8 */  C_ERROR,
  576.         /* F9 */  C_ERROR,
  577.         /* FA */  C_ERROR,
  578.         /* FB */  C_ERROR,
  579.         /* FC */  C_ERROR,
  580.         /* FD */  C_ERROR,
  581.         /* FE */  C_ERROR,
  582.         /* FF */  C_ERROR
  583. };

  585. ULONG ade32_disasm(IN PVOID opcode0)
  586. {
  587.         PUCHAR opcode = (PUCHAR)opcode0;
  588.         ULONG flag = 0;
  589.         UCHAR c;
  590.         ULONG t, a, d, i;
  591.         disasm_struct diza;
  592.         RtlZeroMemory(&diza, sizeof(disasm_struct));
  593.         diza.disasm_defdata = 4;
  594.         diza.disasm_defaddr = 4;
  595.         if (*(USHORT*)opcode == 0x0000) return 0;
  596.         if (*(USHORT*)opcode == 0xFFFF) return 0;
  597. repeat_prefix:
  598.         c = *opcode++;
  599.         t = ade32_table[ c ];
  600.         if (t & C_ANYPREFIX)
  601.         {
  602.                 if (flag & t) return 0;
  603.                 flag |= t;
  604.                 if (t & C_67) diza.disasm_defaddr ^= 2^4;
  605.                 else if (t & C_66) diza.disasm_defdata ^= 2^4;
  606.                 else if (t & C_SEG) diza.disasm_seg = c;
  607.                 else if (t & C_REP) diza.disasm_rep = c;
  608.                 goto repeat_prefix;
  609.         }
  610.         flag |= t;
  611.         diza.disasm_opcode = c;
  612.         if (c == 0x0F)
  613.         {
  614.                 c = *opcode++;
  615.                 diza.disasm_opcode2 = c;
  616.                 flag |= ade32_table[256 + c];
  617.                 if (flag == C_ERROR) return 0;
  618.         }
  619.         else if (c == 0xF7 && ((*opcode) & 0x38) == 0)
  620.         {
  621.                 flag |= C_DATA66;
  622.         }
  623.         else if (c == 0xF6 && ((*opcode) & 0x38)==0)
  624.         {
  625.                 flag |= C_DATA1;
  626.         }
  627.         if (flag & C_MODRM)
  628.         {
  629.                 UCHAR mod, rm;
  630.                 c = *opcode++;
  631.                 diza.disasm_modrm = c;
  632.                 if ((c & 0x38) == 0x20 && diza.disasm_opcode == 0xFF) flag |= C_STOP;
  633.                 mod = c & 0xC0;
  634.                 rm  = c & 0x07;
  635.                 if (mod != 0xC0)
  636.                 {
  637.                         if (diza.disasm_defaddr == 4)
  638.                         {
  639.                                 if (rm == 4)
  640.                                 {
  641.                                         flag |= C_SIB;
  642.                                         c = *opcode++;
  643.                                         diza.disasm_sib = c;
  644.                                         rm = c & 0x07;
  645.                                 }
  646.                                 if (mod == 0x40)
  647.                                 {
  648.                                         flag |= C_ADDR1;
  649.                                 }
  650.                                 else if (mod == 0x80)
  651.                                 {
  652.                                         flag |= C_ADDR4;
  653.                                 }
  654.                                 else if (rm == 5)
  655.                                 {
  656.                                         flag |= C_ADDR4;
  657.                                 }
  658.                         }
  659.                         else
  660.                         {
  661.                                 if (mod == 0x40)
  662.                                 {
  663.                                         flag |= C_ADDR1;
  664.                                 }
  665.                                 else if (mod == 0x80)
  666.                                 {
  667.                                         flag |= C_ADDR2;
  668.                                 }
  669.                                 else if (rm == 6)
  670.                                 {
  671.                                         flag |= C_ADDR2;
  672.                                 }
  673.                         }
  674.                 }
  675.         }
  676.         diza.disasm_flag = flag;
  677.         a =  flag & (C_ADDR1 | C_ADDR2 | C_ADDR4);
  678.         d = (flag & (C_DATA1 | C_DATA2 | C_DATA4)) >> 8;
  679.         if (flag & C_ADDR67) a += diza.disasm_defaddr;
  680.         if (flag & C_DATA66) d += diza.disasm_defdata;
  681.         diza.disasm_addrsize = a;
  682.         diza.disasm_datasize = d;
  683.         for(i=0; i<a; i++)
  684.                 diza.disasm_addr_b[i] = *opcode++;
  685.         for(i=0; i<d; i++)
  686.                 diza.disasm_data_b[i] = *opcode++;
  687.         diza.disasm_len = (ULONG)(opcode - (ULONG)opcode0);
  688.         return diza.disasm_len;
  689. }

  691. ULONG MeasureCodeLength(IN PVOID FuncPtr, IN ULONG NeedLength)
  692. {
  693.         ULONG Offset = 0, CodeLen;
  694.         do {
  695.                 CodeLen = ade32_disasm((PVOID)((ULONG)FuncPtr + Offset));
  696.                 if (CodeLen == 0) return 0;
  697.                 Offset += CodeLen;
  698.         } while (Offset < NeedLength);
  699.         return Offset;
  700. }
复制代码




欢迎光临 Forwe (http://forwe.joinbbs.net/) Powered by Discuz! 7.2