Mensajes

Eso es sintaxis AT&T.

¿Porqué no usar ASM Inline?

Código (c) [Seleccionar] Expandir

#include <stdio.h>
#include <stdlib.h>

int var1 = 1;
int var2 = 2;

int main()
{

   asm(".intel_syntax noprefix");
   asm("mov eax, [_var1]");
   asm("mov ecx, [_var2]");

   asm("mov [_var1] , ecx");
   asm("mov [_var2], eax");
   asm(".att_syntax noprefix");

   printf("Valor de var1: %i\n", var1);
   printf("Valor de var2: %i\n", var2);
   
   return 0;
}

Sí, te podemos ayudar, que es lo que no entiendes o donde te quedas atascado? enseñanos lo que llevas programado 

No puedes declarar dos variables con el mismo nombre en la misma función 

Si hubieras probado te habrías dado cuenta.

En realidad no tiene que llevar los union, fijate en este mismo ejemplo de la msdn:

https://msdn.microsoft.com/en-us/library/aa251430(v=vs.60).aspx

Código (c) [Seleccionar] Expandir

typedef struct _devicemode {    /* dvmd */
   TCHAR  dmDeviceName[32];
   WORD   dmSpecVersion;
   WORD   dmDriverVersion;
   WORD   dmSize;
   WORD   dmDriverExtra;
   DWORD  dmFields;
   short  dmOrientation;
   short  dmPaperSize;
   short  dmPaperLength;
   short  dmPaperWidth;
   short  dmScale;
   short  dmCopies;
   short  dmDefaultSource;
   short  dmPrintQuality;
   short  dmColor;
   short  dmDuplex;
   short  dmYResolution;
   short  dmTTOption;
   short  dmCollate;
   TCHAR  dmFormName[32];
   WORD   dmUnusedPadding;
   USHORT dmBitsPerPel;
   DWORD  dmPelsWidth;
   DWORD  dmPelsHeight;
   DWORD  dmDisplayFlags;
   DWORD  dmDisplayFrequency;
} DEVMODE;

WORD = 2 bytes
DWORD = 4 bytes
TCHAR [32] = 32 bytes
USHORT = 2 bytes
short = 2 bytes

Espero que ahora si lo puedas resolver.

En C#

Código (csharp) [Seleccionar] Expandir

Structure DEVMODE
   Public Const CCHDEVICENAME As Integer = 32
   Public Const CCHFORMNAME As Integer = 32

   <MarshalAs(UnmanagedType.ByValTStr, SizeConst:=CCHDEVICENAME)> _
   <System.Runtime.InteropServices.FieldOffset(0)> _
   Public dmDeviceName As String
   <System.Runtime.InteropServices.FieldOffset(32)> _
   Public dmSpecVersion As Int16
   <System.Runtime.InteropServices.FieldOffset(34)> _
   Public dmDriverVersion As Int16
   <System.Runtime.InteropServices.FieldOffset(36)> _
   Public dmSize As Int16
   <System.Runtime.InteropServices.FieldOffset(38)> _
   Public dmDriverExtra As Int16
   <System.Runtime.InteropServices.FieldOffset(40)> _
   Public dmFields As DM
   <System.Runtime.InteropServices.FieldOffset(44)> _
   Private dmOrientation As Int16
   <System.Runtime.InteropServices.FieldOffset(46)> _
   Private dmPaperSize As Int16
   <System.Runtime.InteropServices.FieldOffset(48)> _
   Private dmPaperLength As Int16
   <System.Runtime.InteropServices.FieldOffset(50)> _
   Private dmPaperWidth As Int16
   <System.Runtime.InteropServices.FieldOffset(52)> _
   Public dmScale As Int16
   <System.Runtime.InteropServices.FieldOffset(54)> _
   Public dmCopies As Int16
   <System.Runtime.InteropServices.FieldOffset(56)> _
   Private dmDefaultSource As Int16
   <System.Runtime.InteropServices.FieldOffset(58)> _
   Private dmPrintQuality As Int16
   <System.Runtime.InteropServices.FieldOffset(44)> _
   Public dmPosition As POINTL
   <System.Runtime.InteropServices.FieldOffset(52)> _
   Public dmDisplayOrientation As Int32
   <System.Runtime.InteropServices.FieldOffset(56)> _
   Public dmDisplayFixedOutput As Int32
   <System.Runtime.InteropServices.FieldOffset(60)> _
   Public dmColor As Short
   <System.Runtime.InteropServices.FieldOffset(62)> _
   Public dmDuplex As Short
   <System.Runtime.InteropServices.FieldOffset(64)> _
   Public dmYResolution As Short
   <System.Runtime.InteropServices.FieldOffset(66)> _
   Public dmTTOption As Short
   <System.Runtime.InteropServices.FieldOffset(68)> _
   Public dmCollate As Short
   <System.Runtime.InteropServices.FieldOffset(72)> _
   <MarshalAs(UnmanagedType.ByValTStr, SizeConst:=CCHFORMNAME)> _
   Public dmFormName As String
   <System.Runtime.InteropServices.FieldOffset(102)> _
   Public dmLogPixels As Int16
   <System.Runtime.InteropServices.FieldOffset(104)> _
   Public dmBitsPerPel As Int32
   <System.Runtime.InteropServices.FieldOffset(108)> _
   Public dmPelsWidth As Int32
   <System.Runtime.InteropServices.FieldOffset(112)> _
   Public dmPelsHeight As Int32
   <System.Runtime.InteropServices.FieldOffset(116)> _
   Public dmDisplayFlags As Int32
   <System.Runtime.InteropServices.FieldOffset(116)> _
   Public dmNup As Int32
   <System.Runtime.InteropServices.FieldOffset(120)> _
   Public dmDisplayFrequency As Int32
End Structurecode

ó:

Código (csharp) [Seleccionar] Expandir

[/ [StructLayout(LayoutKind.Explicit, CharSet = CharSet.Ansi)]
    struct DEVMODE
    {
        public const int CCHDEVICENAME = 32;
        public const int CCHFORMNAME = 32;

        [MarshalAs(UnmanagedType.ByValTStr, SizeConst = CCHDEVICENAME)]
        [System.Runtime.InteropServices.FieldOffset(0)]
        public string dmDeviceName;
        [System.Runtime.InteropServices.FieldOffset(32)]
        public Int16 dmSpecVersion;
        [System.Runtime.InteropServices.FieldOffset(34)]
        public Int16 dmDriverVersion;
        [System.Runtime.InteropServices.FieldOffset(36)]
        public Int16 dmSize;
        [System.Runtime.InteropServices.FieldOffset(38)]
        public Int16 dmDriverExtra;
        [System.Runtime.InteropServices.FieldOffset(40)]
        public DM dmFields;

        [System.Runtime.InteropServices.FieldOffset(44)]
        Int16 dmOrientation;
        [System.Runtime.InteropServices.FieldOffset(46)]
        Int16 dmPaperSize;
        [System.Runtime.InteropServices.FieldOffset(48)]
        Int16 dmPaperLength;
        [System.Runtime.InteropServices.FieldOffset(50)]
        Int16 dmPaperWidth;
        [System.Runtime.InteropServices.FieldOffset(52)]
        Int16 dmScale;
        [System.Runtime.InteropServices.FieldOffset(54)]
        Int16 dmCopies;
        [System.Runtime.InteropServices.FieldOffset(56)]
        Int16 dmDefaultSource;
        [System.Runtime.InteropServices.FieldOffset(58)]
        Int16 dmPrintQuality;

        [System.Runtime.InteropServices.FieldOffset(44)]
        public POINTL dmPosition;
        [System.Runtime.InteropServices.FieldOffset(52)]
        public Int32 dmDisplayOrientation;
        [System.Runtime.InteropServices.FieldOffset(56)]
        public Int32 dmDisplayFixedOutput;

        [System.Runtime.InteropServices.FieldOffset(60)]
        public short dmColor;
        [System.Runtime.InteropServices.FieldOffset(62)]
        public short dmDuplex;
        [System.Runtime.InteropServices.FieldOffset(64)]
        public short dmYResolution;
        [System.Runtime.InteropServices.FieldOffset(66)]
        public short dmTTOption;
        [System.Runtime.InteropServices.FieldOffset(68)]
        public short dmCollate;
        [System.Runtime.InteropServices.FieldOffset(72)]
        [MarshalAs(UnmanagedType.ByValTStr, SizeConst = CCHFORMNAME)]
        public string dmFormName;
        [System.Runtime.InteropServices.FieldOffset(102)]
        public Int16 dmLogPixels;
        [System.Runtime.InteropServices.FieldOffset(104)]
        public Int32 dmBitsPerPel;
        [System.Runtime.InteropServices.FieldOffset(108)]
        public Int32 dmPelsWidth;
        [System.Runtime.InteropServices.FieldOffset(112)]
        public Int32 dmPelsHeight;
        [System.Runtime.InteropServices.FieldOffset(116)]
        public Int32 dmDisplayFlags;
        [System.Runtime.InteropServices.FieldOffset(116)]
        public Int32 dmNup;
        [System.Runtime.InteropServices.FieldOffset(120)]
        public Int32 dmDisplayFrequency;
    }
code]

hay que mirar las opciones del olly para ver donde está parando, puede estar configurado en system breakpoint en lugar de entry point

Esta en WinMain.

A ver si subo el exe.

Para hacer eso, solo hay que establecer una bandera, para que nuestro gancho sepa cuando modificar los parámetros y cuando no, fíjate:

Código (asm) [Seleccionar] Expandir

include 'win32ax.inc'

.data
        msg1            db 'hola',0
        USER32          db 'USER32.DLL',0
        funcion         db 'MessageBoxA',0
        dirfun          dd ?
        proteccion      dd ?
        msghook         db 'API Hookeada!',0

        HookState       dd 0

.code
start:

    call Hook

    invoke MessageBoxA,0,msg1,0,0

    mov [HookState],1      ; No Hook

    invoke MessageBoxA,0,msg1,0,0

    mov [HookState],0   ; Hook de nuevo

    invoke MessageBoxA,0,msg1,0,0

    ret

    proc Hook
        mov [HookState],0

        invoke LoadLibrary, USER32
        invoke GetProcAddress,eax,funcion   ; Obtenemos la  direccion de la función
        mov [dirfun],eax

        mov ebx,eax

        mov eax, mMessageBox     ; Calculamos el salto relativo.
        sub eax,ebx
        sub eax,5


        push eax

        invoke VirtualProtect,[dirfun],5,PAGE_EXECUTE_READWRITE,addr proteccion   ; damos derechos de acceso.

        pop eax

        mov ebx, [dirfun]

        mov byte[ebx],0xE9  ;escribimos un jmp al inicio de la API verdadera
        inc ebx
        mov dword[ebx],eax   ; escribimos el salto que tiene que dar en el inicio de la api verdadera
        add ebx,4

        ret
    endp

    proc mMessageBox     ; Funcion que saltará cuando el programa llame a la API Original
        cmp [HookState],1 ; Si no queremos que se establezca el hook
        je NoHook

        pop eax       ; obtenemos la direccion de retorno que introdujo el call

        pop ebx       ; sacamos los parametros original que se pasaron a la API
        pop ebx
        pop ebx
        pop ebx

        push 0       ; Introducimos los parametros que queremos que ejecute nuestra API
        push 0
        push msghook
        push 0

        push eax

        NoHook:

        mov edi, edi    ; Ejecutamos los 5 primeros bytes originales de la API
        push ebp
        mov ebp, esp

        mov ebx, [dirfun]   ; Calculamos el salto hacia la API original
        add ebx,5

        jmp ebx           ; Saltamos a la direccion de la API original + 5 bytes

        ret
    endp

.end start       

Sí, si la gente se interesa seguiré escribiendo cosillas.

[kub0x]

Hola kub0x !

El problema en tu código es que imagínate que las primeras instrucciones no ocupan la longitud que tu esperas, que crees que pasaría? 

Lo que yo hice para implementar eso mismo fue hacer una tabla con las instrucciones mas comunes que solían aparecer en los primeros bytes y ya calcular cuando ocupaban.

saludos.

[¿Que podemos hacer con este metodo?]

Bueno, en este texto voy a intentar explicar de que se trata el API hooking.

Una descripción rapida de lo que es este metodo sería algo así: realizar un gancho a una función del sistema para poder modificar su retorno o bién sus parametros.

¿Que podemos hacer con este metodo?

Pues de todo lo que se nos ocurra desde ocultar archivos, procesos, hasta espiar conversaciones de skype, bloquear llamadas al sistema de detecminados procesos, etc.


¿Que nociones debo tener para aplicar correctamente esta técnica?

Se deberá tener nociones de ensamblador, ademas el ejemplo que aquí usare esta en FASM, además de saber manejar un poco Ollydbg.


¿En que consiste dicha técnica?

Consiste en modificar los primeros bytes de la funcion que queremos hookear,  en esos primeros bytes escribiremos un salto a nuestra funcion (Que emulara la función original pero con los parametros que nosotros queramos).

Para modificar los primeros bytes de la API deberémos dar permisos de escritura y ejecución ya que si no no podremos escribir nuestro salto.


Dicho todo esto pasemos al código y a aprender su funcionamiento.

En este caso hookearemos la API  MessageBoxA, para ello crearemos nuestro propio ejecutable:

Código (asm) [Seleccionar] Expandir

include 'win32ax.inc'

.data
       msg1            db 'hola',0


.code
start:

   invoke MessageBoxA,0,msg1,0,0
   ret

.end start                    

la salida del programa es la siguiente:



Obtetivo: que nuestro programa cante lo que nosotros queramos.

El primer paso será ver el inicio de la API desde el olly DBG para que cuando nosotros escribamos el salto no dejemos ninguna instruccion a medias (si dejamos alguna instruccion a medias nuestro programa petara)

Asique abrimos OllyDbg y vemos que contiene el inicio de la API.



A nosotros en realidad solo nos interesan los primero 5 bytes, que es lo que ocupa el salto (jmp + Direccion).

En este caso nos viene perfecto ya que las 3 primeras instrucciones:

Código (asm) [Seleccionar] Expandir

mov edi, edi
push ebp
mov ebp, esp

Ocupan exactamente 5 bytes.

Bien, copiamos esas 3 instrucciones y las guardamos en un archivo de texto para no olvidarlas, ya que nos harán falta mas adelante.

Una vez hecho esto, lo que haremos será lo siguiente, obtendremos la dirección de MessageBoxA, y sobreescribiremos sus primeros bytes para que salte a nuestra función.

Código (asm) [Seleccionar] Expandir


include 'win32ax.inc'

.data
       msg1            db 'hola',0
       USER32          db 'USER32.DLL',0
       funcion         db 'MessageBoxA',0
       dirfun          dd ?
       proteccion      dd ?

.code
start:

   call Hook

   invoke MessageBoxA,0,msg1,0,0
   ret

   proc Hook
       invoke LoadLibrary, USER32
       invoke GetProcAddress,eax,funcion   ; Obtenemos la  direccion de la función
       mov [dirfun],eax

       mov ebx,eax

       mov eax, mMessageBox     ; Calculamos el salto relativo.
       sub eax,ebx
       sub eax,5


       push eax

       invoke VirtualProtect,[dirfun],5,PAGE_EXECUTE_READWRITE,addr proteccion   ; damos derechos de acceso.

       pop eax

       mov ebx, [dirfun]

       mov byte[ebx],0xE9  ;escribimos un jmp al inicio de la API verdadera
       inc ebx
       mov dword[ebx],eax   ; escribimos el salto que tiene que dar en el inicio de la api verdadera
       add ebx,4

       ret
   endp

   proc mMessageBox     ; Funcion que saltará cuando el programa llame a la API Original

       ret
   endp

.end start    


El texto esta comentado pero de igual forma puntualizaré algunas cosillas.

1- Para poder escribir sobre la API original es OBLIGATORIO dar derechos de escritura, en este ejemplo esto se hace con VirtualProtect
2- Tendremos que calcular el salto relativo a nuestra función,  como se ve claramente en el código
3- Llegados a este punto ya tenemos establecido el hook por lo que si probamos a ejecutar el programa de arriba no imprimira nada en pantalla, ya que hemos roto los primeros bytes de la API, es más, queda totalmente inutilizada llegados a este punto.

Ahora tendremos que programar la funcion mMessageBox, para que cante lo que nosotros queramos.

Algunos datos que tenemos que tener en cuenta es que los valores que se introdujeron en la pila sigue ahí, junto con la dirección de retorno de la función, nosotros tendremos que recuperar la funcion de retorno para que el programa siga su ejecución correctamente.

Para aplicar esto debemos saber que, al realizar un call lo que hace el procesador es introducir en la pila la siguiente instruccion que se ejecutara cuando la función a la que llamamos retorne. Por eso lo que nosotros hacemos será recuperarla, introducir lo que nosotros queramos que cante la API, ejecutar los primeros bytes originales de la API y saltar a la dirección original de la API + 5 bytes (recordemos que en esos primeros 5 bytes esta el hook, por eso los emulamos desde nuestra funcion).

Ahí va el código completo del hook comentado.

Código (asm) [Seleccionar] Expandir

include 'win32ax.inc'

.data
       msg1            db 'hola',0
       USER32          db 'USER32.DLL',0
       funcion         db 'MessageBoxA',0
       dirfun          dd ?
       proteccion      dd ?
       msghook         db 'API Hookeada!',0

.code
start:

   call Hook

   invoke MessageBoxA,0,msg1,0,0
   ret

   proc Hook
       invoke LoadLibrary, USER32
       invoke GetProcAddress,eax,funcion   ; Obtenemos la  direccion de la función
       mov [dirfun],eax

       mov ebx,eax

       mov eax, mMessageBox     ; Calculamos el salto relativo.
       sub eax,ebx
       sub eax,5


       push eax

       invoke VirtualProtect,[dirfun],5,PAGE_EXECUTE_READWRITE,addr proteccion   ; damos derechos de acceso.

       pop eax

       mov ebx, [dirfun]

       mov byte[ebx],0xE9  ;escribimos un jmp al inicio de la API verdadera
       inc ebx
       mov dword[ebx],eax   ; escribimos el salto que tiene que dar en el inicio de la api verdadera
       add ebx,4

       ret
   endp

   proc mMessageBox     ; Funcion que saltará cuando el programa llame a la API Original
       pop eax       ; obtenemos la direccion de retorno que introdujo el call

       pop ebx       ; sacamos los parametros original que se pasaron a la API
       pop ebx
       pop ebx
       pop ebx

       push 0       ; Introducimos los parametros que queremos que ejecute nuestra API
       push 0
       push msghook
       push 0

       push eax     ; Introducimos la direccion de retorno original

       mov edi, edi    ; Ejecutamos los 5 primeros bytes originales de la API
       push ebp
       mov ebp, esp

       mov ebx, [dirfun]   ; Calculamos el salto hacia la API original
       add ebx,5

       jmp ebx           ; Saltamos a la direccion de la API original + 5 bytes

       ret
   endp

.end start

Ejecutamos nuestro programa y veremos que solo cantará lo que nosotros queramos.  



¿Pero, como puedo hookear una función que esta en otro proceso?

Estando en su mismo proceso, esto se puede conseguir inyectando nuestra DLL con el hook en el proceso o bién desde una inyección de código.

Bueno pues de momento eso ha sido todo, lo he intentado explicar de manera simple y para que se entienda bien.

Decir también que los ejemplos han sido desarrollados y probados en una máquina x64 con Windows 7.

Cualquier duda o colsulta será respondida gustosamente.

saludos!

Bueno pues el caso es que cuando cargo mi programa hecho en FASM para debuguearlo antes me carga una serie de instrucciones y unos SYSENTER que no los he programado yo y de hecho en ocasiones nisiquiera salen las instrucciones verdaderas que yo programe o ni aparecen 

alguien sabe algo?

saludos.