الفريق العربي للهندسة العكسية

unsigned int addr = 0x0048DA03;
unsigned int jumpToAddr = 0x0048D9B2;
unsigned char command[] = { 0xEA };
VirtualProtectEx(hProcess, (void*)addr, 20, PAGE_READWRITE, &oldProtect);
WriteProcessMemory(hProcess, (void*)addr, (void*)command, sizeof(command), NULL); // this line for jmp
WriteProcessMemory(hProcess, (void*)addr, (void*)jumpToAddr, sizeof(jumpToAddr), NULL); // this line for the address
VirtualProtectEx(hProcess, (void*)addr, 20, oldProtect, &oldProtect); 

void* reservedMemAddress = VirtualAllocEx(hProcess, NULL, 100, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
if (reservedMemAddress) {
WriteProcessMemory(hProcess, (void*)addr, (void*)command, sizeof(command), NULL);
WriteProcessMemory(hProcess, (void*)addr, (void*)reservedMemAddress, sizeof(reservedMemAddress), NULL);
}

1. كيف يمكنني كتابة العنوان Address الذي سيتم القفز إليه JMP بشكل صحيح؟
   
2. كيف أقوم بحقن التعليمة كمثال JMP 0x0048D9B2 بسطر كود واحد بأستخدام الدالة WriteProcessMemory بدلا من تكرار كتابة الدالة مرة لكتابة أمر JMP ومرة لكتابة العنوان Address؟
   

(31-12-2022, 01:22 PM)lionking كتب : [ -> ] 

• كيف يمكنني كتابة العنوان Address الذي سيتم القفز إليه JMP بشكل صحيح؟
  
  
•  
  

(31-12-2022, 01:22 PM)lionking كتب : [ -> ]كيف أقوم بحقن التعليمة كمثال JMP 0x0048D9B2 بسطر كود واحد بأستخدام الدالة WriteProcessMemory بدلا من تكرار كتابة الدالة مرة لكتابة أمر JMP ومرة لكتابة العنوان Address؟

 
void writeMemory()
{
byte bMove = 0xB8;
DWORD dwAddress = 0x48D9B2 ;
WORD wJumpeax = 0xE0FF;

byte* buf = new byte[7]; // 1 mov , 4 address , 2 jmp eax

*buf = bMove;
memcpy(&buf[1], &dwAddress,sizeof(DWORD));
memcpy(&buf[5], &wJumpeax, sizeof(WORD));

DWORD dwBytesWritten = 0;
DWORD dwTargetAddress = 0x40100A;

WriteProcessMemory(GetCurrentProcess(), (LPVOID)dwTargetAddress, buf, 7, &dwBytesWritten);
delete[] buf;
}

(31-12-2022, 11:22 PM)M!X0R كتب : [ -> ]لست بخبير في البرمجة راح أعطيك فكرة حاول تترجمها 
اجعل الكود يجلب Address Base و ضف إليه عنوان RVA
جرب...

(01-01-2023, 03:10 AM)EarthMan123 كتب : [ -> ]عليك بحساب المسافة من مكان القفزة إلى المكان الذي تريد القفز إليه.

وتضيف الناتج بعد تعليمة القفزة.

(01-01-2023, 11:07 AM)SeGNMeNT كتب : [ -> ]قم بتخزين العوان باحدى المسجلات ثم دعه يقفز اليه.

(02-01-2023, 09:59 PM)lionking كتب : [ -> ]وهل هناك سبب يمنع من كتابة العنوان بشكل مباشر بدلا من إضافة بالريجستر أولا؟
لاننى أحاول أضافته بشكل مباشر بطريقتك ولكن لايزال يكتب العنوان بشكل خاطئ.

(03-01-2023, 05:17 PM)SeGNMeNT كتب : [ -> ]

تعليمة القفزة لعنوان معين 0xEA jmp far غير مألوفة

(02-01-2023, 09:59 PM)lionking كتب : [ -> ]للأسف جربتها بس ما نفعت أيضا.

unsigned int addr = 0x0048DA03;
unsigned char command[] = { 0xEBAD };
VirtualProtectEx(hProcess, (void*)addr, 20, PAGE_READWRITE, &oldProtect);
WriteProcessMemory(hProcess, (void*)addr, (void*)command, sizeof(command), NULL);
VirtualProtectEx(hProcess, (void*)addr, 20, oldProtect, &oldProtect); 

unsigned char command[] = { 0xEB, 0xAD };

(03-01-2023, 02:06 PM)EarthMan123 كتب : [ -> ]عليك بحساب المسافة من مكان القفزة إلى المكان الذي تريد القفز إليه.
وتضيف الناتج بعد تعليمة القفزة.

https://stackoverflow.com/questions/7609...ns-address
https://reverseengineering.stackexchange...ubtraction

unsigned int addr = 0x0048DA03;
unsigned int jumpFarToAddr = 0x0048A512;
unsigned char* hex = new unsigned char[4];
const unsigned char command = 0xE9;
unsigned int AddrTo = addr - jumpFarToAddr;
*hex = command;
memcpy(&hex[1], &AddrTo, sizeof(AddrTo));
VirtualProtectEx(hProcess, (void*)addr, 20, PAGE_READWRITE, &oldProtect);
WriteProcessMemory(hProcess, (void*)addr, (void*)hex, sizeof(hex), NULL);
VirtualProtectEx(hProcess, (void*)addr, 20, oldProtect, &oldProtect); 

(03-01-2023, 05:17 PM)SeGNMeNT كتب : [ -> ]نعم ممكن لكن لست متقن الاسمبلي , تعليمة القفزة لعنوان معين 0xEA jmp far غير مألوفة (على الأقل بالنسبة لي)
اي عنوان يكتبه خطأ ؟ قم باظهار كود العملية Opcode

(03-01-2023, 10:48 PM)M!X0R كتب : [ -> ]قفزة بعيدة 0xE9 اي 0xE9 XX XX XX XX 
قفزة فصيرة 0xEB أي 0xEB XX

unsigned int addr = 0x0048DA03;
unsigned int jumpFarToAddr = 0x0048A512;
unsigned char* hex = new unsigned char[5];
const unsigned char command = 0xE9;
*hex = command;
memcpy(&hex[1], &jumpFarToAddr, sizeof(jumpFarToAddr));
VirtualProtectEx(hProcess, (void*)addr, 20, PAGE_READWRITE, &oldProtect);
WriteProcessMemory(hProcess, (void*)addr, (void*)hex, sizeof(hex), NULL);
VirtualProtectEx(hProcess, (void*)addr, 20, oldProtect, &oldProtect);