1.0x70~0x7F EIP无法像通用寄存器那样用mov来修改,只能通过类似于jz,JNB,JNE JBE,call等的跳转指令来进行修改 条件跳转,后跟一个字节立即数的偏移(有符号),共两个字节. 如果条件成立,跳转到当前指令地址+当前指令长度+Ib 最大值:向前跳转7F,向后跳80 0x80 JO 0x81 JNO 0x82 JB/JNA/JC 0x83 JNB/JAE/JNC 0x84 JZ/JE 0x85 JNZ/JNE 0x86 JBE/JNA 0x87 JNBE/JA 0x88 J…

变长指令 不是所有的指令都是,看到opcode就知道有多长(定长指令),当指令中出现内存操作对象的时候,就需要在操作码后面附加一个字节来进行补充说明,这个字节被称为ModR/M. 该字节的8个位被分成了三部分: 其中,Reg/Opcode(第3.4.5位,共3个字节)描述指令中的G部分,即寄存器 Mod(第6.7位)和R/M(第0.1.2位)共同描述指令中的E部分,即寄存器/内存 因特尔白皮书: MOV变长指令 0x88  MOV Eb, Gb          G:通用寄存器 0x89  MO…

前言 ModR/M字段是用来进行内存寻址的,可当地址形如DS:[EAX + ECX*2 + 12345678]时,仅仅靠ModR/M字段,是描述不出来的. 这时就在ModR/M后面增加一个SIB字节,与ModR/M字段共同描述. 上一节说到opcode决定了是否有ModR/M字段,而opcode和ModR/M字段一起决定了SIB字段 可以看到再ModR/M后面,SIB这个值是否有取决于ModR/M的具体取值,其实就是上一节说的esp那个位置,ModR/M是空出来 SIB结构 首字母命名Scale…

一.如何计算ModRM 0X88 MOV Eb,Gb G:通用寄存器 0X89 MOV Ev,Gv E:寄存器/内存 0X8A MOV Gb,Eb b:字节 0X8B MOV Gv,Ev v:Word(16位),doubleword(32位),quadword(64位) 当指令中出现内存操作对象的时候,就需要在操作码后面附加一个字节来进行补充说明,这个字节被称为ModR/M.该字节的8个位被分成了三部分 7 ~ 6 5~3 2~0 Mod Reg/Opcode R/M 其中,Red/Opcode…

一.回顾Mod/M结构 Intel 64 and IA-32 Architectures Instruction Format ModR/M结构图 Mod与R/M共同描述E的意义(内存或者通用寄存器) Reg/Opcode描述了G的意义(通用寄存器).但3-5个字段,并不仅仅用来标识寄存器,有些时候,用来标识Opcode 二.RegOpcode-举例说明 80 65 1.第一个字节为80 查Table-2表,得到对应结构-->Eb,Ib 2.第二个字节为ModR/M字段,拆分65-->0100…

简单介绍了,JMP指令按市面上的意思来说是跳转到指定地址,但我这里不这么说,JMP, CALL, RET三个指令均为修改EIP值的指令,EAX, ECX, EBX, EDX, ESP, EBP, ESI, EDI,这8个寄存器的值均可以用mov指令来修改里面的值,EIP行不行呢?我们实际测试一下. 版权声明:本文为博主原创文章,转载请附上原文出处链接和本声明.2019-09-06,20:23:27.作者By-----溺心与沉浮----博客园 一.JMP指令 我们发现,指令违法,说明,EIP的值不…

目前接触到的报文格式有三种:xml .定长报文.变长报文 . 此处只做简单介绍,日后应该会深入学习到三者之间如何解析,再继续更新.——2016.9.23 XML XML 被设计用来传输和存储数据. HTML 被设计用来显示数据. XML 仅仅是纯文本 XML 没什么特别的.它仅仅是纯文本而已.有能力处理纯文本的软件都可以处理 XML. 不过,能够读懂 XML 的应用程序可以有针对性地处理 XML 的标签.标签的功能性意义依赖于应用程序的特性. 通过 XML 您可以发明自己的标签 例子: XML…

内存池可有效降低动态申请内存的次数,减少与内核态的交互,提升系统性能,减少内存碎片,增加内存空间使用率,避免内存泄漏的可能性,这么多的优点,没有理由不在系统中使用该技术. 内存池分类: 1.              不定长内存池.典型的实现有apr_pool.obstack.优点是不需要为不同的数据类型创建不同的内存池,缺点是造成分配出的内存不能回收到池中.这是由于这种方案以session为粒度,以业务处理的层次性为设计基础. 2.             定长内存池.典型的实现有LOKI.B…

TCP    以流的方式进行数据传输上层的应用协议为了对消息进行区分,往往采用如下4种方式. (1)消息长度固定,累计读取到长度总和为定长LEN 的报文后,就认为读取到了一个完整的消息,将计数器置位,重新开始读取下一个数据报:(2)将回车换行符作为消息结束符,例如FTP协议,这种方式在文本协议中应用比较广泛:(3)将特殊的分隔符作为消息的结束标志,回车换行符就是一种特殊的结束分隔符:(4)通过在消息头中定义长度字段来标识消息的总长度. Netty对上面四种应用做了统一的抽象提供了4种解码器来解决…

功能:通过修改EIP寄存器实现32位程序的DLL注入(如果是64位,记得自己对应修改汇编代码部分) 原理: 挂起目标进程,停止目标进程EIP的变换,在目标进程开启空间,然后把相关的指令机器码和数据拷贝到里面去,然后修改目标进程EIP使其强行跳转到我们拷贝进去的相关机器码位置,执行相关,然后跳转回来.下面的例子是实现DLL注入, 但是和平时说的远程代码注入在注入的逻辑上不同,但是同时都是用到了一个重要的结论就是:很多系统dll的导出函数地址在不同进程中,是一样的. */ /* 思路 修改EID实现…