AGB  ·  Datenschutz  ·  Impressum  







Anmelden
Nützliche Links
Registrieren

Find String Reference X64

Ein Thema von sonny2007 · begonnen am 14. Dez 2015 · letzter Beitrag vom 14. Dez 2015
Antwort Antwort
sonny2007

Registriert seit: 27. Aug 2009
39 Beiträge
 
Delphi 10.2 Tokyo Professional
 
#1

Find String Reference X64

  Alt 14. Dez 2015, 11:49
Hi Leute,

stehe mal wieder vor einem Problem. Unter 32Bit war die ReferenzMemoryadress einfach zu finden.

Doch unter X64 gestaltet sich das schwerer als gedacht (zumindestens für mich)

---
000000013F87DA7D | 48 8D 0D BC 1D BD 00 | lea rcx,qword ptr ds:[14044F840] | ;14044F840:"ViewAdvanceAgentSelect"
---

wenn ich jetzt nach dem String "ViewAdvanceAgentSelect" suche, bekomme ich die 14044F840 zurück.
Unter 32 Bit entsprach diese auch den Bytes purple markiert! Doch unter X64Bit ist diese Adresse assembled "rip + 0xbd1dbc".
Das Offset entspricht auch den Bytes, purple markiert.

Meine Frage. Wie komme ich an das Rip register oder an das Offset "rip + 0xbd1dbc".
Klar könnte ich auch das Offset hardcoden nur verfehlt das mein Ziel

Grüße
s0n

Geändert von sonny2007 (14. Dez 2015 um 13:46 Uhr)
  Mit Zitat antworten Zitat
SMO

Registriert seit: 20. Jul 2005
178 Beiträge
 
Delphi XE6 Professional
 
#2

AW: Find String Reference X64

  Alt 14. Dez 2015, 16:22
"X64", also AMD/Intel x86-64, benutzt Position Independent Code (PIC). Absolute Speicheradressen wie im 32-Bit-Modus werden vermieden, stattdessen werden relative verwendet. Der Bezugspunkt dabei ist das RIP-Register, also die 64-Bit-Version des Instruction Pointers, der die Speicheradresse des nächsten Befehls enthält. Das hat den Vorteil, dass das Programm im Speicher herumgeschoben werden kann (Relocation) und trotzdem korrekt ausführbar bleibt.

Für dein Beispiel bedeutet das konkret:
  1. Nach Ausführung des vorigen Codes enthält der Instruction Pointer RIP nun $13F87DA7D, d.h. zeigt jetzt auf deinen aktuellen Befehl.
  2. Die CPU holt sich die Bytes aus dem Cache/Speicher und dekodiert den Befehl.
  3. Die CPU erkennt dabei, dass der Befehl 7 Bytes lang ist (48 8D 0D BC 1D BD 00).
  4. Die CPU bewegt daher RIP schon mal weiter auf den nächsten Befehl; RIP enthält jetzt also $13F87DA84.
  5. Die CPU führt den aktuellen Befehl aus (lea rcx, [rip + $00BD1DBC]) - ja, das Offset hier sind die letzten 4 Bytes des Befehls (little endian).
  6. Da RIP wie gesagt $13F87DA84 enthält, ist die Berechnung $13F87DA84 + $00BD1DBC = $14044F840.

Um im 64-Bit-Modus also deine gesuchte Speicheradresse zu ermitteln, musst du sowohl die Adresse als auch die Länge des Befehls kennen, der die gesuchte Speicheradresse referenziert.

Geändert von SMO (14. Dez 2015 um 16:31 Uhr)
  Mit Zitat antworten Zitat
sonny2007

Registriert seit: 27. Aug 2009
39 Beiträge
 
Delphi 10.2 Tokyo Professional
 
#3

AW: Find String Reference X64

  Alt 14. Dez 2015, 16:37
Danke für die Antwort. Lob an die wirklich ausführliche Erklärung der Behandlung von Registern und Adressen unter 64Bit.

1. Suche String ....
2. Finde ihn und die Adresse $14044F840

wenn Rip einfach nur verschoben wird ist es doch zur Laufzeit nicht so einfach ermittelbar. ( ohne toggle BPoints etc ...)
oder habe ich da einen Denkfehler. Wie ermittle ich aus $14044F840 das Offset $00BD1DBC;

aus den Offset das Array of Byte zu erstellen und dann die Adresse davon zu suchen, das ist mir alles klar.

greets s0n
  Mit Zitat antworten Zitat
SMO

Registriert seit: 20. Jul 2005
178 Beiträge
 
Delphi XE6 Professional
 
#4

AW: Find String Reference X64

  Alt 14. Dez 2015, 17:30
Was genau ist dein Ziel? Du durchsuchst ein (fremdes) Programm nach einem String und möchtest dann herausfinden, welche Stellen des Programms diesen String benutzen?

Das ist in x64 in der Tat schwieriger. Wenn du es ganz korrekt machen möchtest, dann müsstest du den kompletten Code disassemblieren, die RIP-relativen Adressierungen erkennen, dann wie oben gezeigt die absolute Adresse ausrechnen und prüfen, ob es die Adresse des Strings ist. Außerdem weiterhin nach absoluten Adressen Ausschau halten, da es die immer noch geben kann. Das ist ziemlich aufwendig.

Eine mögliche Heuristik, ohne Disassembler, könnte so funktionieren:

Delphi-Quellcode:
var
  StrAdr, CodeAdr, EndAdr: UInt64;

StrAdr := Adresse des Strings (64-Bit absolut)
CodeAdr := Startadresse des zu durchsuchenden Codes (64-Bit absolut)
EndAdr:= Endadresse des zu durchsuchenden Codes (64-Bit absolut)

while CodeAdr < EndAdr do
begin
  // teste auf absolute 64-Bit-Adresse:
  if HoleUInt64VonAdresse(CodeAdr) = StrAdr then
  begin
    AbsoluteReferenzGefunden(CodeAdr);
    Inc(CodeAdr, 8);
  end
  // teste auf RIP-relatives 32-Bit-Offset:
  else if CodeAdr + 4 + HoleInt32VonAdresse(CodeAdr) = StrAdr then
  begin
    RelativeReferenzGefunden(CodeAdr);
    Inc(CodeAdr, 4);
  end
  else Inc(CodeAdr);
end;
Der Test auf RIP-relatives 32-Bit-Offset hier nimmt an, dass es immer am Ende eines Befehls steht (wie im Beispiel 48 8D 0D BC 1D BD 00). Deswegen "CodeAdr + 4": das ist der Wert, der für RIP an dieser Stelle vermutet wird. Ob das 100% korrekt ist, weiß ich nicht, aber bei den meisten Befehlen sollte es so sein.

Geändert von SMO (14. Dez 2015 um 18:21 Uhr)
  Mit Zitat antworten Zitat
Themen-Optionen Thema durchsuchen
Thema durchsuchen:

Erweiterte Suche
Ansicht

Forumregeln

Es ist dir nicht erlaubt, neue Themen zu verfassen.
Es ist dir nicht erlaubt, auf Beiträge zu antworten.
Es ist dir nicht erlaubt, Anhänge hochzuladen.
Es ist dir nicht erlaubt, deine Beiträge zu bearbeiten.

BB-Code ist an.
Smileys sind an.
[IMG] Code ist an.
HTML-Code ist aus.
Trackbacks are an
Pingbacks are an
Refbacks are aus

Gehe zu:

Impressum · AGB · Datenschutz · Nach oben
Alle Zeitangaben in WEZ +1. Es ist jetzt 11:01 Uhr.
Powered by vBulletin® Copyright ©2000 - 2022, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2021 by Daniel R. Wolf