[T.....n]

#programownie #cpp
Mam pytanie. Chciałem sprawdzić, w którym miejscu stosu funkcja func() otrzyma swoją ramkę. Nie znam adresu pod, który funkcja func() zostanie wrzucona na stos, dlatego stworzyłem zmienną a = 0xabababab, wyświetliłem jej adres, i udałem się w tamto miejsce na stosie. Teraz zakładam, że gdzieś w pobliżu na stosie powinien znaleźć się pointer na funkcję func(). Dlatego wyprintowałem też adres funkcji func(), którego na stosie nigdzie nie widzę. Dalej też go nie ma, bo stos jest pusty. Tak wiem, że mogą tą funkcję znaleźć bez problemu w IDA, ale chcę to zrobić krok po kroku... Nie widzę też na stosie wartości zwróconej przez funkcję func(). Nie krzyczcie za głupie pytania, nie jestem programistą.

[MamCieNaHita]

@TheMoonTheMoon: adres funkcji to miejsce w kodzie, które jest niemutowalne. w momencie gdy jesteś w ciele func(), to rejestr EBP powinien wskazywać na "adres ramki". ale w zalezności od tego gdzie uruchomisz tę funkcję(w jakim stanie będzie stos), to ten EBP będzie mieć różne wartości

[MamCieNaHita]

Nie widzę też na stosie wartości zwróconej przez funkcję func()

@TheMoonTheMoon: druga rzecz, to wartość funkcji może być też zwrócona przez rejestr - tutaj nie rozróżniam tych konwencji z __stdcall, więc piszę MOŻE

[Passer93]

@TheMoonTheMoon: Wywołaj kolejna funkcje z wnętrza f to wtedy jej adres zostanie odłożony na stosie by do niej wrócić po wywolaniu

[T.....n]

@MamCieNaHita: Okej, ale skąd program wie, w które miejsce pamięci w sekcji .text ma skoczyć do funkcji? Bo zakładam, że kod funkcji znajduje się w .text. Musi przecież gdzieś na stosie leżeć pointer na tą funkcję.

[Passer93]

@TheMoonTheMoon: Jeśli to jest ta sama translation unit to kompilator to wie i po prostu wkleja adres funkcji, jeśli inna translation unit to kod jest relocable i robi to linker przy linkowaniu

[T.....n]

@Passer93: nie zadziałała ta opcja z wywołaniem z wnętrza drugiej funkcji. Na pewno odłoży adres pierwszej funkcji, a nie adres ramki (albo przesunięcie względem nowej)?

[rethil]

@TheMoonTheMoon:

Nie widzę też na stosie wartości zwróconej przez funkcję func().

Wygenerowany kod masz tutaj. Wartosc z funkcji wraca w rejestrze *AX.

Bo zakładam, że kod funkcji znajduje się w .text. Musi przecież gdzieś na stosie leżeć pointer

[Passer93]

@TheMoonTheMoon: odłoży adres pod który ma wrócić a więc jednej instrukcji po wywoalniu ten funcjkji

[F.....n]

@TheMoonTheMoon: na pewno na stos kiedykolwiek odkładany jest adres funkcji? co najwyżej adres powrotny

[MamCieNaHita]

@TheMoonTheMoon: w skrócie:
jak mamy func(); w kodzie, to w asmie to wygląda to mniej więcej tak:

push EBP;

push ESP;

push

[T.....n]

@Feargan: ja nie wiem, ja się nie znam na programistyce komputerowej, pytam programerów

[Passer93]

@MamCieNaHita: Tylko "call" odkłada też adres pod który wrócić, a to często nie jest klarowne xD

[MamCieNaHita]

@Passer93: dlatego napisałem mniej więcej :P

[F.....n]

@TheMoonTheMoon: czyli szukasz ramki stosu, bo już nie rozumiem?

[T.....n]

@Feargan: chciałbym wiedzieć, gdzie znajdę miejsce, które bezpośrednio będzie prowadzić do kodu funkcji, ale już rozumiem, że na stosie tego nie znajdę, tylko siedzi to w rejestrach

[Passer93]

@TheMoonTheMoon: ogarnij sobie 'nm' na linuxie, wtedy jasno widzisz adresy symboli w tym funcjkji

[F.....n]

@TheMoonTheMoon: adres bieżącej instrukcji jest w Program Counter/Instruction Pointer. Zakładając, że pracujesz z x86, nie da się tego rejestru odczytać bezpośrednio

[T.....n]

@Feargan: ale głupie

[F.....n]

@TheMoonTheMoon: jest tam też sposób, który @Passer93 sugerował, czyli zawołać jakąś dummy funkcję, a potem ściągnąć ze stosu adres powrotny dla niej. No i pewnie względem tego trzeba będzie przeliczyć adres, żeby dostać się do pierwszej interesującej nas instrukcji. W sumie to nie będzie trywialne, zwłaszcza jeżeli niejawnie przed właściwym kodem część rejestrów będzie zabezpieczana na stosie pushami.

[Passer93]

@TheMoonTheMoon: To nie jest głupie tylko zabierasz się od tego z d--y strony próbując robić mem dumpy xD
Wpisz 'nm -A' i tyle ¯\(ツ)/¯