Телеграмм чат группы proasm страница 1932

https://www.securitylab.ru/analytics/241543.php
eax = номер функции
edx = esp
адрес возврата — в стек, ибо sysenter его не сохраняет никуда
параметры — в стеке.

www.securitylab.ru

Windows Syscall Shellcode

Это статья написана в качестве демонстрации возможности написания шеллкода для операционных систем Windows без использования каких-либо API-вызовов. В этой статье мы рассмотрим создание подобного шеллкода, а также пример его применения.

источник

17:14пожаловаться #3

2020 March 31

d1vunit in pro.asm

Для команды SYSENTER значения извлекаются из следующих источников:
1. Из регистра IA32_SYSENTER_CS извлекается селектор целевого сегмента
кода.
2. Точка входа задаётся в регистре IA32_SYSENTER_EIP.

3. Селектор целевого сегмента стека вычисляется путём добавления 8 к значе-
нию из IA32_SYSENTER_CS.
4. Указатель на стек задаётся в регистре IA32_SYSENTER_ESP.

источник

10:15пожаловаться #4

d1vunit in pro.asm

я не понимаю как можно класть селектор SS в MSR IA_SYSENTER_CS

источник

10:16пожаловаться #5

d1vunit in pro.asm

если селектор имеет размер 16 бит

источник

10:16пожаловаться #6

d1vunit in pro.asm

а если еще SYSEXIT то надо весь заполонить eax всеми 4 селекторами

источник

10:17пожаловаться #7

d1vunit in pro.asm

или 2 часть селектора обрезается и учитывается только младшая восьмидитовая часть

источник

10:18пожаловаться #8

d1vunit in pro.asm

восьмибитовая *

источник

10:18пожаловаться #9

d1vunit in pro.asm

или я не понял вообще

источник

10:23пожаловаться #10

ЕК

Евгений Красников (Jin X) in pro.asm

d1vunit

я не понимаю как можно класть селектор SS в MSR IA_SYSENTER_CS

А msr что, меньше?
Читай Intel SDM, там по любому всё написано.

источник

10:39пожаловаться #11

d1vunit in pro.asm

я посмотрел так и у меня вопрос вот фрагмент кода

источник

12:41пожаловаться #12

d1vunit in pro.asm

https://pastebin.com/TjP1jKcy

Pastebin

EntryProtected: mov dx,0x0010 mov ds,dx mov es,dx mov gs,d - Pastebin.com

источник

12:43пожаловаться #13

d1vunit in pro.asm

и когда я ставлю не правильный esp (не тот который я в начале выставил) и записываю в msr IA_SYSENTER_ESP то при прыжке в 3 кольцо у меня не правильные селекторы в cs и в ss почему ?

источник

12:44пожаловаться #14

d1vunit in pro.asm

когда я ставлю правильный esp то cs и ss имеют правильные дескрипторы почему ?

источник

12:45пожаловаться #15

d1vunit in pro.asm

в этом фрагменте кода все правильно

источник

12:46пожаловаться #16

d1vunit in pro.asm

...