LyScript獲取上一條與下一條匯編指令的方法詳解
LyScript 插件默認並沒有提供上一條與下一條匯編指令的獲取功能,當然你可以使用LyScriptTools
工具包直接調用內置命令得到,不過這種方式顯然在效率上並不理想,我們需要在LyScript插件API基礎上自己封裝實現這個功能。
LyScript項目地址:https://github.com/lyshark/LyScript
獲取下一條匯編指令
下一條匯編指令的獲取需要註意如果是被命中的指令則此處應該是CC斷點占用一個字節,如果不是則正常獲取到當前指令即可。
1.我們需要檢查當前內存斷點是否被命中,如果沒有命中則說明此處我們需要獲取到原始的匯編指令長度,然後與當前eip地址相加獲得。
2.如果命中瞭斷點,則此處有兩種情況
1.1 如果是用戶下的斷點,則此處調試器會在指令位置替換為CC,也就是匯編中的init停機指令,該指令占用1個字節,需要eip+1得到。
1.2 如果是系統斷點,EIP所停留的位置,則我們需要正常獲取當前指令地址,此處調試器沒有改動匯編指令僅僅隻下下瞭異常斷點。
from LyScript32 import MyDebug # 獲取當前EIP指令的下一條指令 def get_disasm_next(dbg,eip): next = 0 # 檢查當前內存地址是否被下瞭絆子 check_breakpoint = dbg.check_breakpoint(eip) # 說明存在斷點,如果存在則這裡就是一個字節瞭 if check_breakpoint == True: # 接著判斷當前是否是EIP,如果是EIP則需要使用原來的字節 local_eip = dbg.get_register("eip") # 說明是EIP並且命中瞭斷點 if local_eip == eip: dis_size = dbg.get_disasm_operand_size(eip) next = eip + dis_size next_asm = dbg.get_disasm_one_code(next) return next_asm else: next = eip + 1 next_asm = dbg.get_disasm_one_code(next) return next_asm return None # 不是則需要獲取到原始匯編代碼的長度 elif check_breakpoint == False: # 得到當前指令長度 dis_size = dbg.get_disasm_operand_size(eip) next = eip + dis_size next_asm = dbg.get_disasm_one_code(next) return next_asm else: return None if __name__ == "__main__": dbg = MyDebug() dbg.connect() eip = dbg.get_register("eip") next = get_disasm_next(dbg,eip) print("下一條指令: {}".format(next)) prev = get_disasm_next(dbg,12391436) print("下一條指令: {}".format(prev)) dbg.close()
獲取結果如下:
獲取上一條匯編指令
上一條指令的獲取難點就在於,我們無法確定當前指令的上一條指令到底有多長,所以隻能用笨辦法,逐行掃描對比匯編指令,如果找到則取出其上一條指令即可。
from LyScript32 import MyDebug # 獲取當前EIP指令的上一條指令 def get_disasm_prev(dbg,eip): prev_dasm = None # 得到當前匯編指令 local_disasm = dbg.get_disasm_one_code(eip) # 隻能向上掃描10行 eip = eip - 10 disasm = dbg.get_disasm_code(eip,10) # 循環掃描匯編代碼 for index in range(0,len(disasm)): # 如果找到瞭,就取出他的上一個匯編代碼 if disasm[index].get("opcode") == local_disasm: prev_dasm = disasm[index-1].get("opcode") break return prev_dasm if __name__ == "__main__": dbg = MyDebug() dbg.connect() eip = dbg.get_register("eip") next = get_disasm_prev(dbg,eip) print("上一條指令: {}".format(next)) dbg.close()
輸出效果如下:
到此這篇關於LyScript獲取上一條與下一條匯編指令的方法詳解的文章就介紹到這瞭,更多相關LyScript獲取匯編指令內容請搜索WalkonNet以前的文章或繼續瀏覽下面的相關文章希望大傢以後多多支持WalkonNet!
推薦閱讀:
- Python+LyScript實現自定義反匯編
- LyScript尋找ROP漏洞指令片段的方法詳解
- 如何使用pdb進行Python調試
- YGC前後新生代是否變大分析詳解
- PHP 中的 RASP 實現流程分析