BEbo_
22-06-2003, 18:01
Allora, sto cercando di fare in assembly un un .com che mi permetta di attaccarsi in fondo ad un altro .com e dopo essere stato eseguito ripassi il controllo al file .com al quale si è attaccato. Si, lo so, è quello che fanno i virus più comuni, ma io ne sto facendo uno per l'esame di università, quindi niente di distruttivo.
Ho trovato qua e la diverse guide molto ben fatte, ma un forte dubbio mi è rimasto su di un comando che forse non è spiegato al meglio; è questo:
call get_offset ;
get_offset:
pop bp
sub bp,offset get_offset
lea si,[bp+wherever]
Il miei dubbi sono i seguenti:
1) quel call dovrebbe servire a chiamare una procedura e quindi salvare nello stack l'offset dell'istruzione sucessiva (giusto?), che nel nostro caso sarebbe di nuovo la get_offset o sarebbe l'istruzione del programma .com a cui si è attaccato? Cioè tra call get_offset e get_offset: ci stà il programma attaccato???
2) poi qui si fa un pop di bp per estrarre l'offset salvato dal call? Giusto? Ma l'offset proprio dello stack non sarebbe l' SP? Ho letto che bp e sp hanno lo stesso compito in teoria, ma vanno o non vanno di pari passo? Cioè cambiano entrambi il loro valore allo stesso momento? A quanto vedo col debug sembra di no (sp sta a fffx, mentre bp è sempre 0)
3)e poi ultima domanda per quanto riguarda queste istruzioni: in teoria facendo il pop di bp ottengo l'offset di ciò che sta dopo la call e quindi un offset dell'inizio del programma (mettiamo un numero a caso... 0105h), mentre l'offset di get_offset dovrebbe stare alla fine del .com originale e quindi essere tipo 0120h. Ora perché si sottrae get_offset a bp (e quindi 0105h-0120h) invece del contrario per sapere dove si troveranno gli indirizzi delle istruzioni del "virus"?
Poi vabbeh, ho tante altre domande sul dta e altre cosette, ma sarei contento di capire già bene sta cosa qua.
Vi ringrazio anticipatamente.
Ho trovato qua e la diverse guide molto ben fatte, ma un forte dubbio mi è rimasto su di un comando che forse non è spiegato al meglio; è questo:
call get_offset ;
get_offset:
pop bp
sub bp,offset get_offset
lea si,[bp+wherever]
Il miei dubbi sono i seguenti:
1) quel call dovrebbe servire a chiamare una procedura e quindi salvare nello stack l'offset dell'istruzione sucessiva (giusto?), che nel nostro caso sarebbe di nuovo la get_offset o sarebbe l'istruzione del programma .com a cui si è attaccato? Cioè tra call get_offset e get_offset: ci stà il programma attaccato???
2) poi qui si fa un pop di bp per estrarre l'offset salvato dal call? Giusto? Ma l'offset proprio dello stack non sarebbe l' SP? Ho letto che bp e sp hanno lo stesso compito in teoria, ma vanno o non vanno di pari passo? Cioè cambiano entrambi il loro valore allo stesso momento? A quanto vedo col debug sembra di no (sp sta a fffx, mentre bp è sempre 0)
3)e poi ultima domanda per quanto riguarda queste istruzioni: in teoria facendo il pop di bp ottengo l'offset di ciò che sta dopo la call e quindi un offset dell'inizio del programma (mettiamo un numero a caso... 0105h), mentre l'offset di get_offset dovrebbe stare alla fine del .com originale e quindi essere tipo 0120h. Ora perché si sottrae get_offset a bp (e quindi 0105h-0120h) invece del contrario per sapere dove si troveranno gli indirizzi delle istruzioni del "virus"?
Poi vabbeh, ho tante altre domande sul dta e altre cosette, ma sarei contento di capire già bene sta cosa qua.
Vi ringrazio anticipatamente.