Find String Reference X64

[sonny2007]

Hi Leute,

stehe mal wieder vor einem Problem. Unter 32Bit war die ReferenzMemoryadress einfach zu finden.

Doch unter X64 gestaltet sich das schwerer als gedacht (zumindestens für mich)

---
000000013F87DA7D | 48 8D 0D BC 1D BD 00 | lea rcx,qword ptr ds:[14044F840] | ;14044F840:"ViewAdvanceAgentSelect"
---

wenn ich jetzt nach dem String "ViewAdvanceAgentSelect" suche, bekomme ich die 14044F840 zurück.
Unter 32 Bit entsprach diese auch den Bytes purple markiert! Doch unter X64Bit ist diese Adresse assembled "rip + 0xbd1dbc".
Das Offset entspricht auch den Bytes, purple markiert.

Meine Frage. Wie komme ich an das Rip register oder an das Offset "rip + 0xbd1dbc".
Klar könnte ich auch das Offset hardcoden nur verfehlt das mein Ziel

Grüße
s0n

[SMO]

"X64", also AMD/Intel x86-64, benutzt Position Independent Code (PIC). Absolute Speicheradressen wie im 32-Bit-Modus werden vermieden, stattdessen werden relative verwendet. Der Bezugspunkt dabei ist das RIP-Register, also die 64-Bit-Version des Instruction Pointers, der die Speicheradresse des nächsten Befehls enthält. Das hat den Vorteil, dass das Programm im Speicher herumgeschoben werden kann (Relocation) und trotzdem korrekt ausführbar bleibt.

Für dein Beispiel bedeutet das konkret:

1. Nach Ausführung des vorigen Codes enthält der Instruction Pointer RIP nun $13F87DA7D, d.h. zeigt jetzt auf deinen aktuellen Befehl.
2. Die CPU holt sich die Bytes aus dem Cache/Speicher und dekodiert den Befehl.
3. Die CPU erkennt dabei, dass der Befehl 7 Bytes lang ist (48 8D 0D BC 1D BD 00).
4. Die CPU bewegt daher RIP schon mal weiter auf den nächsten Befehl; RIP enthält jetzt also $13F87DA84.
5. Die CPU führt den aktuellen Befehl aus (lea rcx, [rip + $00BD1DBC]) - ja, das Offset hier sind die letzten 4 Bytes des Befehls (little endian).
6. Da RIP wie gesagt $13F87DA84 enthält, ist die Berechnung $13F87DA84 + $00BD1DBC = $14044F840.

Um im 64-Bit-Modus also deine gesuchte Speicheradresse zu ermitteln, musst du sowohl die Adresse als auch die Länge des Befehls kennen, der die gesuchte Speicheradresse referenziert.

[sonny2007]

Danke für die Antwort. Lob an die wirklich ausführliche Erklärung der Behandlung von Registern und Adressen unter 64Bit.

1. Suche String ....
2. Finde ihn und die Adresse $14044F840

wenn Rip einfach nur verschoben wird ist es doch zur Laufzeit nicht so einfach ermittelbar. ( ohne toggle BPoints etc ...)
oder habe ich da einen Denkfehler. Wie ermittle ich aus $14044F840 das Offset $00BD1DBC;

aus den Offset das Array of Byte zu erstellen und dann die Adresse davon zu suchen, das ist mir alles klar.

greets s0n

[SMO]

Was genau ist dein Ziel? Du durchsuchst ein (fremdes) Programm nach einem String und möchtest dann herausfinden, welche Stellen des Programms diesen String benutzen?

Das ist in x64 in der Tat schwieriger. Wenn du es ganz korrekt machen möchtest, dann müsstest du den kompletten Code disassemblieren, die RIP-relativen Adressierungen erkennen, dann wie oben gezeigt die absolute Adresse ausrechnen und prüfen, ob es die Adresse des Strings ist. Außerdem weiterhin nach absoluten Adressen Ausschau halten, da es die immer noch geben kann. Das ist ziemlich aufwendig.

Eine mögliche Heuristik, ohne Disassembler, könnte so funktionieren:

Delphi-Quellcode:

var
  StrAdr, CodeAdr, EndAdr: UInt64;

StrAdr := Adresse des Strings (64-Bit absolut)
CodeAdr := Startadresse des zu durchsuchenden Codes (64-Bit absolut)
EndAdr:= Endadresse des zu durchsuchenden Codes (64-Bit absolut)

while CodeAdr < EndAdr do
begin
  // teste auf absolute 64-Bit-Adresse:
  if HoleUInt64VonAdresse(CodeAdr) = StrAdr then
  begin
    AbsoluteReferenzGefunden(CodeAdr);
    Inc(CodeAdr, 8);
  end
  // teste auf RIP-relatives 32-Bit-Offset:
  else if CodeAdr + 4 + HoleInt32VonAdresse(CodeAdr) = StrAdr then
  begin
    RelativeReferenzGefunden(CodeAdr);
    Inc(CodeAdr, 4);
  end
  else Inc(CodeAdr);
end;

Der Test auf RIP-relatives 32-Bit-Offset hier nimmt an, dass es immer am Ende eines Befehls steht (wie im Beispiel 48 8D 0D BC 1D BD 00). Deswegen "CodeAdr + 4": das ist der Wert, der für RIP an dieser Stelle vermutet wird. Ob das 100% korrekt ist, weiß ich nicht, aber bei den meisten Befehlen sollte es so sein.