[ASM] Récupération registre EIP

[Yttrium]

Bonjour a tous !

Aujourd'hui, nous allons voir comment récupéré la valeur du registre EIP grâce a une procédure en Assembleur x86.
Cette dernière peux facilement être intégré à un code C grâce à la balise asm("");

Tout d'abord qu'est ce que le registre EIP.
Le registre EIP, est utilisé par le processeur pour connaitre l’adresse de la prochaine instruction à exécuter. Cependant, il ne peux pas être modifié avec la traditionnel instruction mov.
Vous le modifier sans le savoir lorsque vous faite un jump, car vous lui donner une valeur spécifique.
Mais malgré ça, il reste une solution qui permet de récupéré ça valeur, le pointeur de pile, ESP.

En faite, lorsque vous appelez une procédure avec l'instruction call, la variable EIP est stocké sur la pile avant d'être modifié. Et c'est la variable ESP qui contient l'adresse du haut de la pile, il nous suffira donc simplement de coder une fonction qui une fois appelé stock la variable pointé par ESP et la retourne ce qui nous donne :

Code :

eip_to_eax:
mov eax, [esp]
ret

Il vous suffira ensuite d'appeler la procédure eip comme ceci :

Code :

call eip_to_eax

[supersnail]

Sympa ton article

Btw, on retrouve ce trick assez souvent (surtout dans les shellcodes ou payload injectés dans d'autres bins), pour récupérer des données hardcoded dans le shellcode relativement à où est placé le shellcode .

Par exemple, le botnet andromeda utilise ce trick pour retrouver des données

[gruik]

yep, c'est le trick bien connu du call/pop qu'on trouve aussi dans les shellcodes à l'ancienne
à noter que ça fait typiquement office de signature pour la détection de shellcodes justement (cf libemu)

un autre trick existe aussi qui utilise les instructions du coprocesseur math x87 fldz et fstenv

Code ASM :


$ echo -ne "\xd9\xee\xd9\x74\xe4\xf4\x58" | ndisasm.exe -u -
00000000  D9EE              fldz
00000002  D974E4F4          fnstenv [esp-0xc]
00000006  58                pop eax
 

et il semblerait qu'il y ait au moins une autre methode via les seh sous windows
http://skypher.com/wiki/index.php/Hackin...code/GetPC

[Horgh]

Nice gruik, je connaissais pas ces quelques tricks tordus. thx pour la doc :]