mov edi,edi是

来源：互联网发布：淘宝商家贷款入口编辑：程序博客网时间：2024/05/22 09:00

mov edi,edi是什么意思?

Visual C++ 编译器选项
参数 /hotpatch 创建可热修补的映像
应该就会出现此现象

ms预留的无用代码好像是打热补丁用的记得在rootkit那本书里看到过具体的记不清啦

无破坏性NOP操作

XP系统程序中开头的MOV EDI,EDI指令的解释：

在VS .NET 2003的VC7\INCLUDE目录中的listing.inc文件中定义了１到７个字节的无破坏性NOP操作的宏

MOV EDI,EDI　就是两个字节的NOP
在程序中与NOP指令的意义相同。

为什么要用MOV EDI,EDI 而不用两个NOP?
我的理解是：
用两个NOP指令耗费的CPU时钟周期要比用MOV EDI,EDI指令要长，为了提高效率，就采用了MOV EDI,EDI

listing.inc文件的内容

;; LISTING.INC
;;
;; This file contains assembler macros and is included by the files created
;; with the -FA compiler switch to be assembled by MASM (Microsoft Macro
;; Assembler).
;;
;; Copyright (c) 1993, Microsoft Corporation. All rights reserved.

;; non destructive nops
npad macro size
if size eq 1
nop
else
if size eq 2
mov edi, edi
else
if size eq 3
; lea ecx, [ecx+00]
DB 8DH, 49H, 00H
else
if size eq 4
; lea esp, [esp+00]
DB 8DH, 64H, 24H, 00H
else
if size eq 5
add eax, DWORD PTR 0
else
if size eq 6
; lea ebx, [ebx+00000000]
DB 8DH, 9BH, 00H, 00H, 00H, 00H
else
if size eq 7
; lea esp, [esp+00000000]
DB 8DH, 0A4H, 24H, 00H, 00H, 00H, 00H
else
%out error: unsupported npad size
.err
endif
endif
endif
endif
endif
endif
endif
endm

;; destructive nops
dpad macro size, reg
if size eq 1
inc reg
else
%out error: unsupported dpad size
.err
endif

endm

mov edi,edi - hook api

系统: windows xp

查看系统函数的反汇编代码时会发现开头有个"mov edi,edi"(2字节),再往前则是5个nop指令(当然这不会引人注意),可是"mov edi,edi"有什么用了.

上网搜索"mov edi,edi",结果让人惊奇,据说系统函数都添加了这段"无用"的代码,为的是Hot Patching,详细内容请自行搜索.

通过改写代码来挂接API时,一般是移动前几个字节加入jump指令,对于"mov edi,edi"开头的函数也习惯性的这样处理.可现在情况不同了,这7个字节提供了方便,文中提到了更好的办法,在mov指令处(即函数开始处)使用一个短跳转指令(2字节)到上面的nop位置,这5个字节可以插入长跳转或call到远处.

想做个什么,现在这类型的函数修改都可以这样千篇一律,那我要做一个可以hook所有这些函数的接口,之后在自己的dll内根据函数地址分流. 以后想要hook某api只要修改这7个字节,就可以在我们自己的dll函数内收到信息(包括原函数地址,参数列表),还可以选择是否执行原函数.

实现包含几部分
1. 修改待hook api地址处的7个字节(5个nop和mov edi,edi),呼叫接口函数,call偏移为(接口函数地址-原函数地址)
2. 接口函数的编写,需要取得原函数地址,参数列表后呼叫分流函数
3. 分流函数,根据函数地址区分函数,做后续处理

====================================================================
api开头修改,以MessageBoxA为例

77D50506      90            NOP
77D50507      90            NOP
77D50508      90            NOP
77D50509      90            NOP
77D5050A      90            NOP
77D5050B >    8BFF          MOV EDI,EDI
77D5050D /. 55            PUSH EBP

77D5050B为MessageBoxA的地址,改为:

77D50506      E8 3527B304   CALL kernel32.7C882C40 ;接口函数
77D5050B > ^ EB F9         JMP SHORT USER32.77D50506
77D5050D /. 55            PUSH EBP
====================================================================
接口函数,写入kernel32.dll,windows下都会加载
将以下汇编的字节码写入kernel32的.text段的尾部,可能大家xp版本不一样会有些差别

7C882C40    83EC 08         SUB ESP,8                          ; 保存fRet,addEspNum
7C882C43    E8 38000000     CALL kernel32.7C882C80             ; 获取HookFun的地址
7C882C48    85C0            TEST EAX,EAX
7C882C4A    75 08           JNZ SHORT kernel32.7C882C54
7C882C4C    83C4 08         ADD ESP,8
7C882C4F    830424 02       ADD DWORD PTR SS:[ESP],2           ; 返回到原函数地址+2
7C882C53    C3              RETN
7C882C54    8D4C24 04       LEA ECX,DWORD PTR SS:[ESP+4]
7C882C58    54              PUSH ESP                           ; addEspNum
7C882C59    51              PUSH ECX                           ; fRet
7C882C5A    8D4C24 18       LEA ECX,DWORD PTR SS:[ESP+18]
7C882C5E    51              PUSH ECX                           ; args
7C882C5F    8B4C24 14       MOV ECX,DWORD PTR SS:[ESP+14]
7C882C63    51              PUSH ECX                           ; 原函数地址
7C882C64    FFD0            CALL EAX
7C882C66    8B4C24 04       MOV ECX,DWORD PTR SS:[ESP+4]       ; fRet
7C882C6A    85C9            TEST ECX,ECX
7C882C6C ^ 74 DE           JE SHORT kernel32.7C882C4C
7C882C6E    8B5424 0C       MOV EDX,DWORD PTR SS:[ESP+C]       ; 原函数返回地址
7C882C72    8B0C24          MOV ECX,DWORD PTR SS:[ESP]         ; addEspNum
7C882C75    8D640C 10       LEA ESP,DWORD PTR SS:[ESP+ECX+10]
7C882C79    FFE2            JMP EDX                            ; 修改ESP后,跳回去,不用ret
7C882C7B    90              NOP
7C882C7C    90              NOP
7C882C7D    90              NOP
7C882C7E    90              NOP
7C882C7F    90              NOP
7C882C80    A1 0472887C     MOV EAX,DWORD PTR DS:[7C887204]    ; 保存 fun,位于.data段
7C882C85    85C0            TEST EAX,EAX
7C882C87    74 01           JE SHORT kernel32.7C882C8A
7C882C89    C3              RETN
7C882C8A    A1 0072887C     MOV EAX,DWORD PTR DS:[7C887200]    ; 保存 hModule
7C882C8F    85C0            TEST EAX,EAX
7C882C91    75 14           JNZ SHORT kernel32.7C882CA7
7C882C93    68 212C887C     PUSH kernel32.7C882C21             ; ASCII "myHookFun.dll"
7C882C98    E8 DAF0F7FF     CALL kernel32.LoadLibraryA
7C882C9D    A3 0072887C     MOV DWORD PTR DS:[7C887200],EAX
7C882CA2    85C0            TEST EAX,EAX
7C882CA4    75 01           JNZ SHORT kernel32.7C882CA7
7C882CA6    C3              RETN
7C882CA7    68 302C887C     PUSH kernel32.7C882C30             ; ASCII "HookFun"
7C882CAC    50              PUSH EAX
7C882CAD    E8 767FF8FF     CALL kernel32.GetProcAddress
7C882CB2    A3 0472887C     MOV DWORD PTR DS:[7C887204],EAX
7C882CB7    C3              RETN

7C882C20 00 6D 79 68 6F 6F 6B 61 70 69 2E 64 6C 6C 00 00 .myHookFun.dll
7C882C30 48 6F 6F 6B 46 75 6E 00 00 00 00 00 00 00 00 90 HookFun
7C882C40 83 EC 08 E8 38 00 00 00 85 C0 75 08 83 C4 08 83
7C882C50 04 24 02 C3 8D 4C 24 04 54 51 8D 4C 24 18 51 8B
7C882C60 4C 24 14 51 FF D0 8B 4C 24 04 85 C9 74 DE 8B 54
7C882C70 24 0C 8B 0C 24 8D 64 0C 10 FF E2 90 90 90 90 90
7C882C80 A1 04 72 88 7C 85 C0 74 01 C3 A1 00 72 88 7C 85
7C882C90 C0 75 14 68 21 2C 88 7C E8 DA F0 F7 FF A3 00 72
7C882CA0 88 7C 85 C0 75 01 C3 68 30 2C 88 7C 50 E8 76 7F
7C882CB0 F8 FF A3 04 72 88 7C C3

以上地址为内存中的虚拟地址,7c882c20的文件地址为82020h(我的文件是这样)
====================================================================
分流函数,自己编写的dll,文件名"myHookFun.dll",导出函数"HookFun"

typedef int (__stdcall *PROC4)(int,int,int,int);

//proc 原函数地址; args 参数列表; fRet 非0返回上级,否则继续执行原函数; addEspNum 退栈数量
//如需执行原函数应该使用proc+2,从"mov edi,edi"之后执行
__declspec(dllexport) int __stdcall HookFun(PROC proc,int *args,BOOL *fRet,int *addEspNum)
{
if (proc==(PROC)0x77D5050B) //MessageBoxA的地址,暂时直接指明
{
   PROC4 p4=(PROC4)((BYTE*)proc+2);
   *fRet=1;
   *addEspNum=16;   //不从原函数返回的话要告知退栈数量,调用者退栈的(__cdecl)设为0
   return p4(args[0],args[1],(int)"HookFun",args[3]); //修改对话框的标题
}
*fRet=0;
return 0;
}
这个HookFun只是个示例
====================================================================

我修改了kernel32.dll文件,在dos下覆盖了原来的(之前有备份),新添加的汇编码只在修改了api开头的字节后才会被调用.测试程序可通过od启动,或者使用winHex修改待hook程序的进程内存(就7个字节,注意call地址的计算).
动态修改所有的内存也行(包括kernel32),接口函数也可以放在其它地方,甚至和分流函数合并,都放入自己的dll也行,注入dll就可以了.

0 0