Блог

Я пытаюсь выполнить горячее исправление EXE-файла в памяти, исходный код доступен, но я делаю это в учебных целях. (поэтому, пожалуйста, никаких комментариев, предлагающих мне изменить исходный код или использовать обходные пути или любые другие библиотеки)

Ниже приведены функции, с которыми у меня возникают проблемы.

 vm_t* VM_Create( const char *module, intptr_t (*systemCalls)(intptr_t *), vmInterpret_t interpret )
{
    MessageBox(NULL, L"Oh snap! We hooked VM_Create!", L"Success!", MB_OK);
    return NULL;
}

void Hook_VM_Create(void)
{

    DWORD dwBackup;
    VirtualProtect((void*)0x00477C3E, 7, PAGE_EXECUTE_READWRITE, amp;dwBackup);

    //Patch the original VM_Create to jump to our detoured one.
    BYTE *jmp = (BYTE*)malloc(5);
    uint32_t offset = 0x00477C3E - (uint32_t)amp;VM_Create; //find the offset of the original function from our own
    memset((void*)jmp, 0xE9, 1);
    memcpy((void*)(jmp 1), amp;offset, sizeof(offset));
    memcpy((void*)0x00477C3E, jmp, 5);

    free(jmp);
}
  

У меня есть функция VM_Create, которую я хочу вызвать вместо исходной функции. Я еще не написал trampoline, поэтому он вылетает (как и ожидалось). Однако не появляется окно сообщения о том, что я изменил исходное создание виртуальной машины на свое собственное. Я полагаю, что таким образом я перезаписываю исходные инструкции.

Я вижу несколько проблем.

Я предполагаю, что это 0x00477C3E адрес исходной VM_Create функции. Вам действительно не следует жестко кодировать это. Используйте amp;VM_Create вместо этого. Конечно, это будет означать, что вам нужно использовать другое имя для вашей функции замены.

Смещение вычисляется неправильно. У вас неверный знак. Более того, смещение применяется к указателю инструкции в конце инструкции, а не в начале. Итак, вам нужно сдвинуть ее на 5 (размер инструкции). Смещение также должно быть целым числом со знаком.

В идеале, если принять во внимание мой первый пункт, код должен выглядеть следующим образом:

 int32_t offset = (int32_t)amp;New_VM_Create - ((int32_t)amp;VM_Create 5);
  

Спасибо Хансу Пассанту за исправление моей собственной глупой ошибки sign в оригинальной версии!

Если вы работаете на 64-разрядной машине, вам нужно выполнить свою арифметику в 64 битах и, как только вы вычислили смещение, сократить его до 32-разрядного смещения.

Другой нюанс заключается в том, что вы должны восстановить доступ к памяти только для чтения после записи новой JMP инструкции и вызова FlushInstructionCache .