通用inline hook 的详解以及代码的编写

forwe

Driver.h

1. #ifdef __cplusplus
   
2. extern "C"
   
3. {
   
4. #endif
   
5. #include <ntddk.h>
   
6. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath);
   
7. 
   
8. #ifdef __cplusplus
   
9. }
   
10. #endif
    
11. 
    
12. #include "ade32.h"
    
13. 
    
14. #define PAGEDCODE code_seg("PAGE")
    
15. #define LOCKEDCODE code_seg()
    
16. #define INITCODE code_seg("INIT")
    
17. 
    
18. #define PAGEDDATA data_seg("PAGE")
    
19. #define LOCKEDDATA data_seg()
    
20. #define INITDATA data_seg("INIT")
    
21. 
    
22. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
    
23. 
    
24. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject);
    
25. 
    
26. EXTERN_C NTKERNELAPI NTSTATUS NtOpenProcess (
    
27.         __out PHANDLE ProcessHandle,
    
28.         __in ACCESS_MASK DesiredAccess,
    
29.         __in POBJECT_ATTRIBUTES ObjectAttributes,
    
30.         __in_opt PCLIENT_ID ClientId
    
31.         );
    
32. 
    
33. void HookHandleNtOpenProcess(BOOLEAN bUnHook);
    
34. void WriteJump(ULONG uHookAddr, ULONG uJumpAddr);
    
35. 
    
36. NTSTATUS MyNtOpenProcess (
    
37.                                                   __out PHANDLE ProcessHandle,
    
38.                                                   __in ACCESS_MASK DesiredAccess,
    
39.                                                   __in POBJECT_ATTRIBUTES ObjectAttributes,
    
40.                                                   __in_opt PCLIENT_ID ClientId
    
41.                                                   );
    
42. 
    
43. typedef NTSTATUS (*pNtOpenProcess) (
    
44.                                                 __out PHANDLE ProcessHandle,
    
45.                                                 __in ACCESS_MASK DesiredAccess,
    
46.                                                 __in POBJECT_ATTRIBUTES ObjectAttributes,
    
47.                                                 __in_opt PCLIENT_ID ClientId
    
48.                                                 );

复制代码

Driver.cpp

1. #include "Driver.h"
   
2. 
   
3. 
   
4. UCHAR szBackupNtOpenProcess[16];
   
5. UCHAR szRealNtOpenProcess[16];
   
6. ULONG uHookAddr;
   
7. 
   
8. void PageProtectOn()
   
9. {
   
10.         //恢复内存保护
    
11.         __asm
    
12.         {
    
13.                 mov eax, cr0
    
14.                 or eax, 10000h
    
15.                 mov cr0, eax
    
16.                 sti
    
17.         }
    
18. }
    
19. 
    
20. void PageProtectOff()
    
21. {
    
22.         //去掉内存保护
    
23.         __asm
    
24.         {
    
25.                 cli
    
26.                 mov eax, cr0
    
27.                 and eax, not 10000h
    
28.                 mov cr0, eax
    
29.         }
    
30. }
    
31. 
    
32. void WriteJump(ULONG uHookAddr, ULONG uJumpAddr)
    
33. {
    
34.         UCHAR szBuffer[5] = {0};
    
35. 
    
36.         szBuffer[0] = 0xe9;
    
37.         *(PULONG)&szBuffer[1] = uJumpAddr - uHookAddr - 5;
    
38. 
    
39.         KIRQL OldIrql = KeRaiseIrqlToDpcLevel();
    
40. 
    
41.         PageProtectOff();
    
42.        
    
43.         RtlMoveMemory((VOID*)uHookAddr, szBuffer, 5);
    
44. 
    
45.         PageProtectOn();
    
46. 
    
47.         KeLowerIrql(OldIrql);
    
48. }
    
49. 
    
50. 
    
51. NTSTATUS MyNtOpenProcess (
    
52.                                                 __out PHANDLE ProcessHandle,
    
53.                                                 __in ACCESS_MASK DesiredAccess,
    
54.                                                 __in POBJECT_ATTRIBUTES ObjectAttributes,
    
55.                                                 __in_opt PCLIENT_ID ClientId
    
56.                                                 )
    
57. {
    
58.         KdPrint(("MyNtOpenProcess\n"));
    
59.         return ((pNtOpenProcess)&szRealNtOpenProcess)(ProcessHandle, DesiredAccess, ObjectAttributes, ClientId);
    
60. }
    
61. 
    
62. 
    
63. 
    
64. 
    
65. 
    
66. void HookHandleNtOpenProcess(BOOLEAN bHook)
    
67. {
    
68.         if (bHook)
    
69.         {
    
70.                 uHookAddr = (ULONG)NtOpenProcess;
    
71. 
    
72.                 ULONG uHookLength = MeasureCodeLength((PVOID)uHookAddr, 5);
    
73.                 memcpy(szBackupNtOpenProcess, (PVOID)uHookAddr, uHookLength);
    
74.                 memcpy(szRealNtOpenProcess, (PVOID)uHookAddr, uHookLength);
    
75. 
    
76.                 WriteJump((ULONG)szRealNtOpenProcess + uHookLength, uHookAddr + uHookLength);
    
77.                 WriteJump(uHookAddr, (ULONG)MyNtOpenProcess);
    
78. 
    
79. 
    
80.         }
    
81.         else
    
82.         {
    
83.                 KIRQL OldIrql = KeRaiseIrqlToDpcLevel();
    
84. 
    
85.                 PageProtectOff();
    
86. 
    
87.                 RtlMoveMemory((VOID*)uHookAddr, szBackupNtOpenProcess, 5);
    
88. 
    
89.                 PageProtectOn();
    
90. 
    
91.                 KeLowerIrql(OldIrql);
    
92.         }
    
93. }
    
94. 
    
95. 
    
96. #pragma INITCODE
    
97. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
    
98. {
    
99.   NTSTATUS status = STATUS_SUCCESS;
    
100. 
     
101.   HookHandleNtOpenProcess(TRUE);
     
102.   DriverObject->DriverUnload = DriverUnload;
     
103.   return status;
     
104. }
     
105. 
     
106. #pragma PAGEDCODE
     
107. VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
     
108. {
     
109.   HookHandleNtOpenProcess(FALSE);
     
110.   KdPrint(("DriverEntry unLoading...\n"));
     
111.   
     
112. }

复制代码

ade32.h

1. #ifndef _ADE32_H_
   
2. #define _ADE32_H_
   
3. 
   
4. ULONG MeasureCodeLength(IN PVOID FuncPtr, IN ULONG NeedLength);
   
5. 
   
6. #endif _ADE32_H_

复制代码

ade32.cpp

1. // ADE32 2.03c -- advanced 16/32-bit opcode assembler/disassembler engine
   
2. 
   
3. // this stuff is used to get instruction length and parse it into
   
4. // prefix, opcode, modregr/m, address, immediate, etc.
   
5. 
   
6. #include <ntddk.h>
   
7. //#include <pn3misc.h>
   
8. #include "ade32.h"
   
9. 
   
10. //指令特征
    
11. #define C_ERROR   0xFFFFFFFF
    
12. #define C_ADDR1   0x00000001 //操作码中地址大小的位字段(字节)
    
13. #define C_ADDR2   0x00000002
    
14. #define C_ADDR4   0x00000004 //(双字)
    
15. #define C_LOCK    0x00000008 //加锁前缀
    
16. #define C_67      0x00000010 //地址大小修饰前缀(16/32位)
    
17. #define C_66      0x00000020 //操作数大小修饰前缀(16/32位)
    
18. #define C_REP     0x00000040 //重复前缀
    
19. #define C_SEG     0x00000080 //段寄存器前缀
    
20. #define C_ANYPREFIX  (C_66+C_67+C_LOCK+C_REP+C_SEG)
    
21. #define C_DATA1   0x00000100 //操作码中数据大小的位字段
    
22. #define C_DATA2   0x00000200
    
23. #define C_DATA4   0x00000400
    
24. #define C_SIB     0x00000800 //SIB字节
    
25. #define C_ADDR67  0x00001000 //地址字节数为disasm_defaddr
    
26. #define C_DATA66  0x00002000 //数据字节数为disasm_defdata
    
27. #define C_MODRM   0x00004000 //MODRM字节
    
28. #define C_BAD     0x00008000
    
29. #define C_OPCODE2 0x00010000 //操作码第二个字节
    
30. #define C_REL     0x00020000 // 这是跳转指令jxx或者call
    
31. #define C_STOP    0x00040000 // 这是回跳指令，ret或者jmp
    
32. //指令信息
    
33. typedef struct _disasm_struct
    
34. {
    
35.         UCHAR disasm_defaddr;         // 00
    
36.         UCHAR disasm_defdata;         // 01
    
37.         ULONG disasm_len;             // 02 03 04 05
    
38.         ULONG disasm_flag;            // 06 07 08 09
    
39.         ULONG disasm_addrsize;        // 0A 0B 0C 0D
    
40.         ULONG disasm_datasize;        // 0E 0F 10 11
    
41.         UCHAR disasm_rep;             // 12
    
42.         UCHAR disasm_seg;             // 13
    
43.         UCHAR disasm_opcode;          // 14
    
44.         UCHAR disasm_opcode2;         // 15
    
45.         UCHAR disasm_modrm;           // 16
    
46.         UCHAR disasm_sib;             // 17
    
47.         //地址
    
48.         union
    
49.         {
    
50.                 UCHAR  disasm_addr_b[8];       // 18 19 1A 1B  1C 1D 1E 1F
    
51.                 USHORT  disasm_addr_w[4];
    
52.                 ULONG disasm_addr_d[2];
    
53.                 char  disasm_addr_c[8];
    
54.                 short disasm_addr_s[4];
    
55.                 long  disasm_addr_l[2];
    
56.         };
    
57.         //数据
    
58.         union
    
59.         {
    
60.                 UCHAR  disasm_data_b[8];       // 20 21 22 23  24 25 26 27
    
61.                 USHORT  disasm_data_w[4];
    
62.                 ULONG disasm_data_d[2];
    
63.                 char  disasm_data_c[8];
    
64.                 short disasm_data_s[4];
    
65.                 long  disasm_data_l[2];
    
66.         };
    
67. } disasm_struct;
    
68. //按操作码从0x00开始排列，每一行代表一个操作
    
69. //码对应的指令特征的集合
    
70. ULONG ade32_table[512] = {
    
71.         /* 00 */  C_MODRM,
    
72.         /* 01 */  C_MODRM,
    
73.         /* 02 */  C_MODRM,
    
74.         /* 03 */  C_MODRM,
    
75.         /* 04 */  C_DATA1,
    
76.         /* 05 */  C_DATA66,
    
77.         /* 06 */  C_BAD,
    
78.         /* 07 */  C_BAD,
    
79.         /* 08 */  C_MODRM,
    
80.         /* 09 */  C_MODRM,
    
81.         /* 0A */  C_MODRM,
    
82.         /* 0B */  C_MODRM,
    
83.         /* 0C */  C_DATA1,
    
84.         /* 0D */  C_DATA66,
    
85.         /* 0E */  C_BAD,
    
86.         /* 0F */  C_OPCODE2,
    
87.         /* 10 */  C_MODRM+C_BAD,
    
88.         /* 11 */  C_MODRM,
    
89.         /* 12 */  C_MODRM+C_BAD,
    
90.         /* 13 */  C_MODRM,
    
91.         /* 14 */  C_DATA1+C_BAD,
    
92.         /* 15 */  C_DATA66+C_BAD,
    
93.         /* 16 */  C_BAD,
    
94.         /* 17 */  C_BAD,
    
95.         /* 18 */  C_MODRM+C_BAD,
    
96.         /* 19 */  C_MODRM,
    
97.         /* 1A */  C_MODRM,
    
98.         /* 1B */  C_MODRM,
    
99.         /* 1C */  C_DATA1+C_BAD,
    
100.         /* 1D */  C_DATA66+C_BAD,
     
101.         /* 1E */  C_BAD,
     
102.         /* 1F */  C_BAD,
     
103.         /* 20 */  C_MODRM,
     
104.         /* 21 */  C_MODRM,
     
105.         /* 22 */  C_MODRM,
     
106.         /* 23 */  C_MODRM,
     
107.         /* 24 */  C_DATA1,
     
108.         /* 25 */  C_DATA66,
     
109.         /* 26 */  C_SEG+C_BAD,
     
110.         /* 27 */  C_BAD,
     
111.         /* 28 */  C_MODRM,
     
112.         /* 29 */  C_MODRM,
     
113.         /* 2A */  C_MODRM,
     
114.         /* 2B */  C_MODRM,
     
115.         /* 2C */  C_DATA1,
     
116.         /* 2D */  C_DATA66,
     
117.         /* 2E */  C_SEG+C_BAD,
     
118.         /* 2F */  C_BAD,
     
119.         /* 30 */  C_MODRM,
     
120.         /* 31 */  C_MODRM,
     
121.         /* 32 */  C_MODRM,
     
122.         /* 33 */  C_MODRM,
     
123.         /* 34 */  C_DATA1,
     
124.         /* 35 */  C_DATA66,
     
125.         /* 36 */  C_SEG+C_BAD,
     
126.         /* 37 */  C_BAD,
     
127.         /* 38 */  C_MODRM,
     
128.         /* 39 */  C_MODRM,
     
129.         /* 3A */  C_MODRM,
     
130.         /* 3B */  C_MODRM,
     
131.         /* 3C */  C_DATA1,
     
132.         /* 3D */  C_DATA66,
     
133.         /* 3E */  C_SEG+C_BAD,
     
134.         /* 3F */  C_BAD,
     
135.         /* 40 */  0,
     
136.         /* 41 */  0,
     
137.         /* 42 */  0,
     
138.         /* 43 */  0,
     
139.         /* 44 */  C_BAD,
     
140.         /* 45 */  0,
     
141.         /* 46 */  0,
     
142.         /* 47 */  0,
     
143.         /* 48 */  0,
     
144.         /* 49 */  0,
     
145.         /* 4A */  0,
     
146.         /* 4B */  0,
     
147.         /* 4C */  C_BAD,
     
148.         /* 4D */  0,
     
149.         /* 4E */  0,
     
150.         /* 4F */  0,
     
151.         /* 50 */  0,
     
152.         /* 51 */  0,
     
153.         /* 52 */  0,
     
154.         /* 53 */  0,
     
155.         /* 54 */  0,
     
156.         /* 55 */  0,
     
157.         /* 56 */  0,
     
158.         /* 57 */  0,
     
159.         /* 58 */  0,
     
160.         /* 59 */  0,
     
161.         /* 5A */  0,
     
162.         /* 5B */  0,
     
163.         /* 5C */  C_BAD,
     
164.         /* 5D */  0,
     
165.         /* 5E */  0,
     
166.         /* 5F */  0,
     
167.         /* 60 */  C_BAD,
     
168.         /* 61 */  C_BAD,
     
169.         /* 62 */  C_MODRM+C_BAD,
     
170.         /* 63 */  C_MODRM+C_BAD,
     
171.         /* 64 */  C_SEG,
     
172.         /* 65 */  C_SEG+C_BAD,
     
173.         /* 66 */  C_66,
     
174.         /* 67 */  C_67,
     
175.         /* 68 */  C_DATA66,
     
176.         /* 69 */  C_MODRM+C_DATA66,
     
177.         /* 6A */  C_DATA1,
     
178.         /* 6B */  C_MODRM+C_DATA1,
     
179.         /* 6C */  C_BAD,
     
180.         /* 6D */  C_BAD,
     
181.         /* 6E */  C_BAD,
     
182.         /* 6F */  C_BAD,
     
183.         /* 70 */  C_DATA1+C_REL+C_BAD,
     
184.         /* 71 */  C_DATA1+C_REL+C_BAD,
     
185.         /* 72 */  C_DATA1+C_REL,
     
186.         /* 73 */  C_DATA1+C_REL,
     
187.         /* 74 */  C_DATA1+C_REL,
     
188.         /* 75 */  C_DATA1+C_REL,
     
189.         /* 76 */  C_DATA1+C_REL,
     
190.         /* 77 */  C_DATA1+C_REL,
     
191.         /* 78 */  C_DATA1+C_REL,
     
192.         /* 79 */  C_DATA1+C_REL,
     
193.         /* 7A */  C_DATA1+C_REL+C_BAD,
     
194.         /* 7B */  C_DATA1+C_REL+C_BAD,
     
195.         /* 7C */  C_DATA1+C_REL,
     
196.         /* 7D */  C_DATA1+C_REL,
     
197.         /* 7E */  C_DATA1+C_REL,
     
198.         /* 7F */  C_DATA1+C_REL,
     
199.         /* 80 */  C_MODRM+C_DATA1,
     
200.         /* 81 */  C_MODRM+C_DATA66,
     
201.         /* 82 */  C_MODRM+C_DATA1+C_BAD,
     
202.         /* 83 */  C_MODRM+C_DATA1,
     
203.         /* 84 */  C_MODRM,
     
204.         /* 85 */  C_MODRM,
     
205.         /* 86 */  C_MODRM,
     
206.         /* 87 */  C_MODRM,
     
207.         /* 88 */  C_MODRM,
     
208.         /* 89 */  C_MODRM,
     
209.         /* 8A */  C_MODRM,
     
210.         /* 8B */  C_MODRM,
     
211.         /* 8C */  C_MODRM+C_BAD,
     
212.         /* 8D */  C_MODRM,
     
213.         /* 8E */  C_MODRM+C_BAD,
     
214.         /* 8F */  C_MODRM,
     
215.         /* 90 */  0,
     
216.         /* 91 */  0,
     
217.         /* 92 */  0,
     
218.         /* 93 */  C_BAD,
     
219.         /* 94 */  C_BAD,
     
220.         /* 95 */  C_BAD,
     
221.         /* 96 */  C_BAD,
     
222.         /* 97 */  C_BAD,
     
223.         /* 98 */  C_BAD,
     
224.         /* 99 */  0,
     
225.         /* 9A */  C_DATA66+C_DATA2+C_BAD,
     
226.         /* 9B */  0,
     
227.         /* 9C */  C_BAD,
     
228.         /* 9D */  C_BAD,
     
229.         /* 9E */  C_BAD,
     
230.         /* 9F */  C_BAD,
     
231.         /* A0 */  C_ADDR67,
     
232.         /* A1 */  C_ADDR67,
     
233.         /* A2 */  C_ADDR67,
     
234.         /* A3 */  C_ADDR67,
     
235.         /* A4 */  0,
     
236.         /* A5 */  0,
     
237.         /* A6 */  0,
     
238.         /* A7 */  0,
     
239.         /* A8 */  C_DATA1,
     
240.         /* A9 */  C_DATA66,
     
241.         /* AA */  0,
     
242.         /* AB */  0,
     
243.         /* AC */  0,
     
244.         /* AD */  C_BAD,
     
245.         /* AE */  0,
     
246.         /* AF */  C_BAD,
     
247.         /* B0 */  C_DATA1,
     
248.         /* B1 */  C_DATA1,
     
249.         /* B2 */  C_DATA1,
     
250.         /* B3 */  C_DATA1,
     
251.         /* B4 */  C_DATA1,
     
252.         /* B5 */  C_DATA1,
     
253.         /* B6 */  C_DATA1+C_BAD,
     
254.         /* B7 */  C_DATA1+C_BAD,
     
255.         /* B8 */  C_DATA66,
     
256.         /* B9 */  C_DATA66,
     
257.         /* BA */  C_DATA66,
     
258.         /* BB */  C_DATA66,
     
259.         /* BC */  C_DATA66+C_BAD,
     
260.         /* BD */  C_DATA66,
     
261.         /* BE */  C_DATA66,
     
262.         /* BF */  C_DATA66,
     
263.         /* C0 */  C_MODRM+C_DATA1,
     
264.         /* C1 */  C_MODRM+C_DATA1,
     
265.         /* C2 */  C_DATA2+C_STOP,
     
266.         /* C3 */  C_STOP,
     
267.         /* C4 */  C_MODRM+C_BAD,
     
268.         /* C5 */  C_MODRM+C_BAD,
     
269.         /* C6 */  C_MODRM+C_DATA1,
     
270.         /* C7 */  C_MODRM+C_DATA66,
     
271.         /* C8 */  C_DATA2+C_DATA1,
     
272.         /* C9 */  0,
     
273.         /* CA */  C_DATA2+C_STOP+C_BAD,
     
274.         /* CB */  C_STOP+C_BAD,
     
275.         /* CC */  C_BAD,
     
276.         /* CD */  C_DATA1,
     
277.         /* CE */  C_BAD,
     
278.         /* CF */  C_STOP+C_BAD,
     
279.         /* D0 */  C_MODRM,
     
280.         /* D1 */  C_MODRM,
     
281.         /* D2 */  C_MODRM,
     
282.         /* D3 */  C_MODRM,
     
283.         /* D4 */  C_DATA1+C_BAD,
     
284.         /* D5 */  C_DATA1+C_BAD,
     
285.         /* D6 */  C_BAD,
     
286.         /* D7 */  C_BAD,
     
287.         /* D8 */  C_MODRM,
     
288.         /* D9 */  C_MODRM,
     
289.         /* DA */  C_MODRM,
     
290.         /* DB */  C_MODRM,
     
291.         /* DC */  C_MODRM,
     
292.         /* DD */  C_MODRM,
     
293.         /* DE */  C_MODRM,
     
294.         /* DF */  C_MODRM,
     
295.         /* E0 */  C_DATA1+C_REL+C_BAD,
     
296.         /* E1 */  C_DATA1+C_REL+C_BAD,
     
297.         /* E2 */  C_DATA1+C_REL,
     
298.         /* E3 */  C_DATA1+C_REL,
     
299.         /* E4 */  C_DATA1+C_BAD,
     
300.         /* E5 */  C_DATA1+C_BAD,
     
301.         /* E6 */  C_DATA1+C_BAD,
     
302.         /* E7 */  C_DATA1+C_BAD,
     
303.         /* E8 */  C_DATA66+C_REL,
     
304.         /* E9 */  C_DATA66+C_REL+C_STOP,
     
305.         /* EA */  C_DATA66+C_DATA2+C_BAD,
     
306.         /* EB */  C_DATA1+C_REL+C_STOP,
     
307.         /* EC */  C_BAD,
     
308.         /* ED */  C_BAD,
     
309.         /* EE */  C_BAD,
     
310.         /* EF */  C_BAD,
     
311.         /* F0 */  C_LOCK+C_BAD,
     
312.         /* F1 */  C_BAD,
     
313.         /* F2 */  C_REP,
     
314.         /* F3 */  C_REP,
     
315.         /* F4 */  C_BAD,
     
316.         /* F5 */  C_BAD,
     
317.         /* F6 */  C_MODRM,
     
318.         /* F7 */  C_MODRM,
     
319.         /* F8 */  0,
     
320.         /* F9 */  0,
     
321.         /* FA */  C_BAD,
     
322.         /* FB */  C_BAD,
     
323.         /* FC */  0,
     
324.         /* FD */  0,
     
325.         /* FE */  C_MODRM,
     
326.         /* FF */  C_MODRM,
     
327.         /* 00 */  C_MODRM,
     
328.         /* 01 */  C_MODRM,
     
329.         /* 02 */  C_MODRM,
     
330.         /* 03 */  C_MODRM,
     
331.         /* 04 */  C_ERROR,
     
332.         /* 05 */  C_ERROR,
     
333.         /* 06 */  0,
     
334.         /* 07 */  C_ERROR,
     
335.         /* 08 */  0,
     
336.         /* 09 */  0,
     
337.         /* 0A */  0,
     
338.         /* 0B */  0,
     
339.         /* 0C */  C_ERROR,
     
340.         /* 0D */  C_ERROR,
     
341.         /* 0E */  C_ERROR,
     
342.         /* 0F */  C_ERROR,
     
343.         /* 10 */  C_ERROR,
     
344.         /* 11 */  C_ERROR,
     
345.         /* 12 */  C_ERROR,
     
346.         /* 13 */  C_ERROR,
     
347.         /* 14 */  C_ERROR,
     
348.         /* 15 */  C_ERROR,
     
349.         /* 16 */  C_ERROR,
     
350.         /* 17 */  C_ERROR,
     
351.         /* 18 */  C_ERROR,
     
352.         /* 19 */  C_ERROR,
     
353.         /* 1A */  C_ERROR,
     
354.         /* 1B */  C_ERROR,
     
355.         /* 1C */  C_ERROR,
     
356.         /* 1D */  C_ERROR,
     
357.         /* 1E */  C_ERROR,
     
358.         /* 1F */  C_ERROR,
     
359.         /* 20 */  C_ERROR,
     
360.         /* 21 */  C_ERROR,
     
361.         /* 22 */  C_ERROR,
     
362.         /* 23 */  C_ERROR,
     
363.         /* 24 */  C_ERROR,
     
364.         /* 25 */  C_ERROR,
     
365.         /* 26 */  C_ERROR,
     
366.         /* 27 */  C_ERROR,
     
367.         /* 28 */  C_ERROR,
     
368.         /* 29 */  C_ERROR,
     
369.         /* 2A */  C_ERROR,
     
370.         /* 2B */  C_ERROR,
     
371.         /* 2C */  C_ERROR,
     
372.         /* 2D */  C_ERROR,
     
373.         /* 2E */  C_ERROR,
     
374.         /* 2F */  C_ERROR,
     
375.         /* 30 */  C_ERROR,
     
376.         /* 31 */  C_ERROR,
     
377.         /* 32 */  C_ERROR,
     
378.         /* 33 */  C_ERROR,
     
379.         /* 34 */  C_ERROR,
     
380.         /* 35 */  C_ERROR,
     
381.         /* 36 */  C_ERROR,
     
382.         /* 37 */  C_ERROR,
     
383.         /* 38 */  C_ERROR,
     
384.         /* 39 */  C_ERROR,
     
385.         /* 3A */  C_ERROR,
     
386.         /* 3B */  C_ERROR,
     
387.         /* 3C */  C_ERROR,
     
388.         /* 3D */  C_ERROR,
     
389.         /* 3E */  C_ERROR,
     
390.         /* 3F */  C_ERROR,
     
391.         /* 40 */  C_MODRM,
     
392.         /* 41 */  C_MODRM,
     
393.         /* 42 */  C_MODRM,
     
394.         /* 43 */  C_MODRM,
     
395.         /* 44 */  C_MODRM,
     
396.         /* 45 */  C_MODRM,
     
397.         /* 46 */  C_MODRM,
     
398.         /* 47 */  C_MODRM,
     
399.         /* 48 */  C_MODRM,
     
400.         /* 49 */  C_MODRM,
     
401.         /* 4A */  C_MODRM,
     
402.         /* 4B */  C_MODRM,
     
403.         /* 4C */  C_MODRM,
     
404.         /* 4D */  C_MODRM,
     
405.         /* 4E */  C_MODRM,
     
406.         /* 4F */  C_MODRM,
     
407.         /* 50 */  C_ERROR,
     
408.         /* 51 */  C_ERROR,
     
409.         /* 52 */  C_ERROR,
     
410.         /* 53 */  C_ERROR,
     
411.         /* 54 */  C_ERROR,
     
412.         /* 55 */  C_ERROR,
     
413.         /* 56 */  C_ERROR,
     
414.         /* 57 */  C_ERROR,
     
415.         /* 58 */  C_ERROR,
     
416.         /* 59 */  C_ERROR,
     
417.         /* 5A */  C_ERROR,
     
418.         /* 5B */  C_ERROR,
     
419.         /* 5C */  C_ERROR,
     
420.         /* 5D */  C_ERROR,
     
421.         /* 5E */  C_ERROR,
     
422.         /* 5F */  C_ERROR,
     
423.         /* 60 */  C_ERROR,
     
424.         /* 61 */  C_ERROR,
     
425.         /* 62 */  C_ERROR,
     
426.         /* 63 */  C_ERROR,
     
427.         /* 64 */  C_ERROR,
     
428.         /* 65 */  C_ERROR,
     
429.         /* 66 */  C_ERROR,
     
430.         /* 67 */  C_ERROR,
     
431.         /* 68 */  C_ERROR,
     
432.         /* 69 */  C_ERROR,
     
433.         /* 6A */  C_ERROR,
     
434.         /* 6B */  C_ERROR,
     
435.         /* 6C */  C_ERROR,
     
436.         /* 6D */  C_ERROR,
     
437.         /* 6E */  C_ERROR,
     
438.         /* 6F */  C_ERROR,
     
439.         /* 70 */  C_ERROR,
     
440.         /* 71 */  C_ERROR,
     
441.         /* 72 */  C_ERROR,
     
442.         /* 73 */  C_ERROR,
     
443.         /* 74 */  C_ERROR,
     
444.         /* 75 */  C_ERROR,
     
445.         /* 76 */  C_ERROR,
     
446.         /* 77 */  C_ERROR,
     
447.         /* 78 */  C_ERROR,
     
448.         /* 79 */  C_ERROR,
     
449.         /* 7A */  C_ERROR,
     
450.         /* 7B */  C_ERROR,
     
451.         /* 7C */  C_ERROR,
     
452.         /* 7D */  C_ERROR,
     
453.         /* 7E */  C_ERROR,
     
454.         /* 7F */  C_ERROR,
     
455.         /* 80 */  C_DATA66+C_REL,
     
456.         /* 81 */  C_DATA66+C_REL,
     
457.         /* 82 */  C_DATA66+C_REL,
     
458.         /* 83 */  C_DATA66+C_REL,
     
459.         /* 84 */  C_DATA66+C_REL,
     
460.         /* 85 */  C_DATA66+C_REL,
     
461.         /* 86 */  C_DATA66+C_REL,
     
462.         /* 87 */  C_DATA66+C_REL,
     
463.         /* 88 */  C_DATA66+C_REL,
     
464.         /* 89 */  C_DATA66+C_REL,
     
465.         /* 8A */  C_DATA66+C_REL,
     
466.         /* 8B */  C_DATA66+C_REL,
     
467.         /* 8C */  C_DATA66+C_REL,
     
468.         /* 8D */  C_DATA66+C_REL,
     
469.         /* 8E */  C_DATA66+C_REL,
     
470.         /* 8F */  C_DATA66+C_REL,
     
471.         /* 90 */  C_MODRM,
     
472.         /* 91 */  C_MODRM,
     
473.         /* 92 */  C_MODRM,
     
474.         /* 93 */  C_MODRM,
     
475.         /* 94 */  C_MODRM,
     
476.         /* 95 */  C_MODRM,
     
477.         /* 96 */  C_MODRM,
     
478.         /* 97 */  C_MODRM,
     
479.         /* 98 */  C_MODRM,
     
480.         /* 99 */  C_MODRM,
     
481.         /* 9A */  C_MODRM,
     
482.         /* 9B */  C_MODRM,
     
483.         /* 9C */  C_MODRM,
     
484.         /* 9D */  C_MODRM,
     
485.         /* 9E */  C_MODRM,
     
486.         /* 9F */  C_MODRM,
     
487.         /* A0 */  0,
     
488.         /* A1 */  0,
     
489.         /* A2 */  0,
     
490.         /* A3 */  C_MODRM,
     
491.         /* A4 */  C_MODRM+C_DATA1,
     
492.         /* A5 */  C_MODRM,
     
493.         /* A6 */  C_ERROR,
     
494.         /* A7 */  C_ERROR,
     
495.         /* A8 */  0,
     
496.         /* A9 */  0,
     
497.         /* AA */  0,
     
498.         /* AB */  C_MODRM,
     
499.         /* AC */  C_MODRM+C_DATA1,
     
500.         /* AD */  C_MODRM,
     
501.         /* AE */  C_ERROR,
     
502.         /* AF */  C_MODRM,
     
503.         /* B0 */  C_MODRM,
     
504.         /* B1 */  C_MODRM,
     
505.         /* B2 */  C_MODRM,
     
506.         /* B3 */  C_MODRM,
     
507.         /* B4 */  C_MODRM,
     
508.         /* B5 */  C_MODRM,
     
509.         /* B6 */  C_MODRM,
     
510.         /* B7 */  C_MODRM,
     
511.         /* B8 */  C_ERROR,
     
512.         /* B9 */  C_ERROR,
     
513.         /* BA */  C_MODRM+C_DATA1,
     
514.         /* BB */  C_MODRM,
     
515.         /* BC */  C_MODRM,
     
516.         /* BD */  C_MODRM,
     
517.         /* BE */  C_MODRM,
     
518.         /* BF */  C_MODRM,
     
519.         /* C0 */  C_MODRM,
     
520.         /* C1 */  C_MODRM,
     
521.         /* C2 */  C_ERROR,
     
522.         /* C3 */  C_ERROR,
     
523.         /* C4 */  C_ERROR,
     
524.         /* C5 */  C_ERROR,
     
525.         /* C6 */  C_ERROR,
     
526.         /* C7 */  C_ERROR,
     
527.         /* C8 */  0,
     
528.         /* C9 */  0,
     
529.         /* CA */  0,
     
530.         /* CB */  0,
     
531.         /* CC */  0,
     
532.         /* CD */  C_DATA1,
     
533.         /* CE */  0,
     
534.         /* CF */  0,
     
535.         /* D0 */  C_ERROR,
     
536.         /* D1 */  C_ERROR,
     
537.         /* D2 */  C_ERROR,
     
538.         /* D3 */  C_ERROR,
     
539.         /* D4 */  C_ERROR,
     
540.         /* D5 */  C_ERROR,
     
541.         /* D6 */  C_ERROR,
     
542.         /* D7 */  C_ERROR,
     
543.         /* D8 */  C_ERROR,
     
544.         /* D9 */  C_ERROR,
     
545.         /* DA */  C_ERROR,
     
546.         /* DB */  C_ERROR,
     
547.         /* DC */  C_ERROR,
     
548.         /* DD */  C_ERROR,
     
549.         /* DE */  C_ERROR,
     
550.         /* DF */  C_ERROR,
     
551.         /* E0 */  C_ERROR,
     
552.         /* E1 */  C_ERROR,
     
553.         /* E2 */  C_ERROR,
     
554.         /* E3 */  C_ERROR,
     
555.         /* E4 */  C_ERROR,
     
556.         /* E5 */  C_ERROR,
     
557.         /* E6 */  C_ERROR,
     
558.         /* E7 */  C_ERROR,
     
559.         /* E8 */  C_ERROR,
     
560.         /* E9 */  C_ERROR,
     
561.         /* EA */  C_ERROR,
     
562.         /* EB */  C_ERROR,
     
563.         /* EC */  C_ERROR,
     
564.         /* ED */  C_ERROR,
     
565.         /* EE */  C_ERROR,
     
566.         /* EF */  C_ERROR,
     
567.         /* F0 */  C_ERROR,
     
568.         /* F1 */  C_ERROR,
     
569.         /* F2 */  C_ERROR,
     
570.         /* F3 */  C_ERROR,
     
571.         /* F4 */  C_ERROR,
     
572.         /* F5 */  C_ERROR,
     
573.         /* F6 */  C_ERROR,
     
574.         /* F7 */  C_ERROR,
     
575.         /* F8 */  C_ERROR,
     
576.         /* F9 */  C_ERROR,
     
577.         /* FA */  C_ERROR,
     
578.         /* FB */  C_ERROR,
     
579.         /* FC */  C_ERROR,
     
580.         /* FD */  C_ERROR,
     
581.         /* FE */  C_ERROR,
     
582.         /* FF */  C_ERROR
     
583. };
     
584. 
     
585. ULONG ade32_disasm(IN PVOID opcode0)
     
586. {
     
587.         PUCHAR opcode = (PUCHAR)opcode0;
     
588.         ULONG flag = 0;
     
589.         UCHAR c;
     
590.         ULONG t, a, d, i;
     
591.         disasm_struct diza;
     
592.         RtlZeroMemory(&diza, sizeof(disasm_struct));
     
593.         diza.disasm_defdata = 4;
     
594.         diza.disasm_defaddr = 4;
     
595.         if (*(USHORT*)opcode == 0x0000) return 0;
     
596.         if (*(USHORT*)opcode == 0xFFFF) return 0;
     
597. repeat_prefix:
     
598.         c = *opcode++;
     
599.         t = ade32_table[ c ];
     
600.         if (t & C_ANYPREFIX)
     
601.         {
     
602.                 if (flag & t) return 0;
     
603.                 flag |= t;
     
604.                 if (t & C_67) diza.disasm_defaddr ^= 2^4;
     
605.                 else if (t & C_66) diza.disasm_defdata ^= 2^4;
     
606.                 else if (t & C_SEG) diza.disasm_seg = c;
     
607.                 else if (t & C_REP) diza.disasm_rep = c;
     
608.                 goto repeat_prefix;
     
609.         }
     
610.         flag |= t;
     
611.         diza.disasm_opcode = c;
     
612.         if (c == 0x0F)
     
613.         {
     
614.                 c = *opcode++;
     
615.                 diza.disasm_opcode2 = c;
     
616.                 flag |= ade32_table[256 + c];
     
617.                 if (flag == C_ERROR) return 0;
     
618.         }
     
619.         else if (c == 0xF7 && ((*opcode) & 0x38) == 0)
     
620.         {
     
621.                 flag |= C_DATA66;
     
622.         }
     
623.         else if (c == 0xF6 && ((*opcode) & 0x38)==0)
     
624.         {
     
625.                 flag |= C_DATA1;
     
626.         }
     
627.         if (flag & C_MODRM)
     
628.         {
     
629.                 UCHAR mod, rm;
     
630.                 c = *opcode++;
     
631.                 diza.disasm_modrm = c;
     
632.                 if ((c & 0x38) == 0x20 && diza.disasm_opcode == 0xFF) flag |= C_STOP;
     
633.                 mod = c & 0xC0;
     
634.                 rm  = c & 0x07;
     
635.                 if (mod != 0xC0)
     
636.                 {
     
637.                         if (diza.disasm_defaddr == 4)
     
638.                         {
     
639.                                 if (rm == 4)
     
640.                                 {
     
641.                                         flag |= C_SIB;
     
642.                                         c = *opcode++;
     
643.                                         diza.disasm_sib = c;
     
644.                                         rm = c & 0x07;
     
645.                                 }
     
646.                                 if (mod == 0x40)
     
647.                                 {
     
648.                                         flag |= C_ADDR1;
     
649.                                 }
     
650.                                 else if (mod == 0x80)
     
651.                                 {
     
652.                                         flag |= C_ADDR4;
     
653.                                 }
     
654.                                 else if (rm == 5)
     
655.                                 {
     
656.                                         flag |= C_ADDR4;
     
657.                                 }
     
658.                         }
     
659.                         else
     
660.                         {
     
661.                                 if (mod == 0x40)
     
662.                                 {
     
663.                                         flag |= C_ADDR1;
     
664.                                 }
     
665.                                 else if (mod == 0x80)
     
666.                                 {
     
667.                                         flag |= C_ADDR2;
     
668.                                 }
     
669.                                 else if (rm == 6)
     
670.                                 {
     
671.                                         flag |= C_ADDR2;
     
672.                                 }
     
673.                         }
     
674.                 }
     
675.         }
     
676.         diza.disasm_flag = flag;
     
677.         a =  flag & (C_ADDR1 | C_ADDR2 | C_ADDR4);
     
678.         d = (flag & (C_DATA1 | C_DATA2 | C_DATA4)) >> 8;
     
679.         if (flag & C_ADDR67) a += diza.disasm_defaddr;
     
680.         if (flag & C_DATA66) d += diza.disasm_defdata;
     
681.         diza.disasm_addrsize = a;
     
682.         diza.disasm_datasize = d;
     
683.         for(i=0; i<a; i++)
     
684.                 diza.disasm_addr_b[i] = *opcode++;
     
685.         for(i=0; i<d; i++)
     
686.                 diza.disasm_data_b[i] = *opcode++;
     
687.         diza.disasm_len = (ULONG)(opcode - (ULONG)opcode0);
     
688.         return diza.disasm_len;
     
689. }
     
690. 
     
691. ULONG MeasureCodeLength(IN PVOID FuncPtr, IN ULONG NeedLength)
     
692. {
     
693.         ULONG Offset = 0, CodeLen;
     
694.         do {
     
695.                 CodeLen = ade32_disasm((PVOID)((ULONG)FuncPtr + Offset));
     
696.                 if (CodeLen == 0) return 0;
     
697.                 Offset += CodeLen;
     
698.         } while (Offset < NeedLength);
     
699.         return Offset;
     
700. }

复制代码