[ASM]Получение адреса исполняемого файла

[артём612]

Мне надо на асм не прибегая к win api получить адрес модуля исполняемого файла тобишь узнать адрес по которому загружен модуль *.exe

[NerdyCodingKid]

Презанятнейше. Можно полюбопытствовать - почему без winapi?

[twice]

Читай PEB. Пример на асме можно в гугле найти или реверся серьезную малварь.

[Ссылки могут видеть только зарегистрированные пользователи. ]

На сколько понимаю тебе ImageBaseAddress нужен.

[NerdyCodingKid]

Цитата: Сообщение от twice Читай PEB. Пример на асме можно в гугле найти или реверся серьезную малварь. [Ссылки могут видеть только зарегистрированные пользователи. ] На сколько понимаю тебе ImageBaseAddress нужен.

Мне вот что интересно - у тебя есть подозрения о том, на кой ляд ему этот ImageBase без winapi понадобился?

[артём612]

Цитата: Сообщение от NerdyCodingKid Презанятнейше. Можно полюбопытствовать - почему без winapi?

Я пишу шелкод.
Расклад такой что структура pe мне известна.
Без вин апи потому что в виндовс от версии к версии меняются адреса функций и я просто не знаю как найти их.

Но с вопросом адреса модуля я разобрался я просто получал текущий eip и вычитал смещение точки входа.

[NerdyCodingKid]

Цитата: Сообщение от артём612 Я пишу шелкод. Расклад такой что структура pe мне известна. Без вин апи потому что в виндовс от версии к версии меняются адреса функций и я просто не знаю как найти их. Но с вопросом адреса модуля я разобрался я просто получал текущий eip и вычитал смещение точки входа.

Так и надо было сказать что пишешь шеллкод да дельту ищешь.

[артём612]

NerdyCodingKid, ты случаем не знаешь как найти адреса винапи функций?

[twice]

Цитата: Сообщение от артём612 ты случаем не знаешь как найти адреса винапи функций?

Читаешь :

TEB -> PEB -> PEB_LDR_DATA structure -> InLoadOrderModuleList

Далее проходишь по списку загруженных модулей в поисках нужного тебе, например kernel32.dll.
Как нашел нужный модуль, далее читаешь его таблицу экспорта, а от туда ты получаешь адрес нужной win api функции.

[NerdyCodingKid]

Цитата: Сообщение от артём612 NerdyCodingKid, ты случаем не знаешь как найти адреса винапи функций?

Один из самых простых способов изложен [Ссылки могут видеть только зарегистрированные пользователи. ]. Ничего парсить не требуется, всё сводится к поиску kernelbase.