制作日記

こういうの作った方が、逃げにくいじゃない

長さ修飾子

man page読んでたら目に入ったんやけど
printfの長さ修飾子、あれhでshortやけど%nにも有効なんやな
msdnでは%nに有効とは書いてないけど試してみたら使えた
%nなんて普通の開発で使わんし、これは知らんかった

つーわけで、%hnで書き込みサイズを2byteに制限できるやん
コードなしでも親変更3byte分までは安全に軽量化できるやん
C99ならhhも使えたんやけどな
MSはVCをC99準拠させるつもりないから仕方ないね

見た感じ1byte書き込みは無理、2 or 4 byteのみ
00496C98  |. EB 35          |JMP SHORT winmugen.00496CCF
00496C9A |> 8D45 10 |LEA EAX,DWORD PTR SS:[EBP+10] ; Case 6E ('n') of switch 004969C5
00496C9D |. 50 |PUSH EAX
00496C9E |. E8 1B030000 |CALL winmugen.00496FBE
00496CA3 |. F645 FC 20 |TEST BYTE PTR SS:[EBP-4],20
00496CA7 |. 59 |POP ECX
00496CA8 |. 74 09 |JE SHORT winmugen.00496CB3
00496CAA |. 66:8B4D EC |MOV CX,WORD PTR SS:[EBP-14]
00496CAE |. 66:8908 |MOV WORD PTR DS:[EAX],CX
00496CB1 |. EB 05 |JMP SHORT winmugen.00496CB8
00496CB3 |> 8B4D EC |MOV ECX,DWORD PTR SS:[EBP-14]
00496CB6 |. 8908 |MOV DWORD PTR DS:[EAX],ECX
00496CB8 |> C745 D8 010000>|MOV DWORD PTR SS:[EBP-28],1
00496CBF |. E9 23020000 |JMP winmugen.00496EE7

ゼルダ

先週からずっとやっててようやくクリア、面白かったわ
50時間ぐらいかかったのかな?

チュートリアルが1時間かからないぐらい
そこからメインストーリー進め始めるまでの道草で30時間ぐらい
道草食いつつ本編進めてクリアまで20時間ぐらい

こんだけゲームに熱中したのなんて久しぶりだわ

今期アニメ

最近、けものフレンズが急に人気が出てるらしくて困惑しかない
あれ視聴難易度が結構高いと思うんですが。。。
1話本編開始1分でキツかったのが、2話見後半あたりで割と好きになった
あんなにキツかった1話も今ではニコニコしながら見られるから恐ろしい
あとOP曲が良い、自分用にPV貼っておく

プリキュアが先週1話放送でやっと出揃ったけど
今期は漫画原作が割と良い
落語、ACCA、クズ、亜人、にゃんこ

ラノベ系はこのすばと幼女か
幼女は理想郷で連載してたらしいけど、見たことないと思ったら最近のか
一応一通り読んだけど、このすばと同じ異世界転生物のギャグ小説なんだな

他は鬼平と、前期からの継続で鳥獣戯画か
鬼平はさいとうたかをの方じゃなくて良かった


雑記

DTCのオバフロの変数化

オバフロは書式指定子展開後の話やし、これでええやん
[state ]
type = DisplayToClipboard
text="%1024c%c%c%c"
params = 108,74,64,75

lea命令の存在意義
フラグレジスタが変わらない
あとはアドレス取るのなんてよくやることだし、少しでもクロック数少なくしたかったんやろ
他の命令で実現できるかどうかは、代替手段を用意しない理由にはならんし
アドレスのロードとmov、add、subみたいな数値計算ではやってることの意味合いが違う

雑記

追記
なんか他でも書いた気がしないでもないが、もうちょい丁寧に書くわ

stetedefのラベル名を読み込む領域がスタック上に一定量しか用意しないことを利用して
ラベル名をそれ以上の長さにすることでオーバーフローを発生させる
この時点でcnsがヒープに展開済みで、そのアドレスはスタック上に存在している
RET命令を実行したときにそこがリターンアドレスになるような
良い感じにesp弄ってRET叩くコードが既存のコード中に存在するので
オーバーフローでリターンアドレスをそこに差し替えると
そこに飛んで良い感じにespが弄られて、RETでcnsに埋め込んだコードに飛ぶ
あと、試合中のコード実行と違って、オーバーフローするのはサブスレッドだった気がするわ

正直、ステコン介さずコード埋め込むなら、cnsにこだわる必要性を感じない
自前のライブラリかexe動かせばええやん、そっちのほうが自由よ?

追記ここまで

cns内に埋め込んでおいたアセンブラを実行させる


def buffer overflowはこれぐらいしか書いてないな
http://drabs.blog40.fc2.com/blog-entry-1427.html#comment473

overflowについてだけならもっと前にも書いてるけど
cnsに埋め込んだコード実行する方法まで言及したのはここぐらい?

少なくとも、試合中にちょろっとコード実行するのに比べたら大分難易度高いと思うし
原理を聞いたら後は自分で出来ますってぐらいじゃないと、目的に合ったコードを完全自作するのは厳しいんじゃねーかな

他にちらっと見かけた疑問だと
%1021c%c%c%cJ@K
これの意味ぐらい?原理は十分すぎるぐらい書いてんだけどなぁ
http://drabs.blog40.fc2.com/blog-entry-970.html

> スタック上に数か所同じ文字列がぶち込まれてるから、そこのはみ出した分の補修が必要
実際に動作見てみたら補修必要なかったから、この1文だけは嘘だけど

以下、一応解説

%1021c%c%c%c
ここは1024文字ぴったり出力できれば、何でも良い
後ろ3つの%cは何の意味もない、色々弄ってた時のが残ってるだけ

J@K
は必須、アドレスの低いほうから順に0x4A,0x40,0x4B,0x00を書き込んで
リターンアドレスを0x004A404Bに差し替えてる

だから、DTCでコード書き込むときに先頭が0x4B404A=4931658なわけ
ここの書き込み場所をずらしたら当然J@Kも変える必要がある
0x4B404BならK@K
0x4B4030なら0@K
みたいに

def buffer overflowはクラック用途で言えば
キャラ選択が必要な時点で他と大して変わらんやろ
試合中でも良いからDEP回避のほうが有用?やし、あんま興味ない
読み込んだ瞬間にクラックとかだと良いね、sff辺りでできないかなー
ヒープ破壊ネタならあるけど、Windows10だと攻撃はキツイ
Windows XP以前とかみたいにガバガバならどうにかできるかもだが
XPなんて何年も前に捨てたよ
プロフィール

Author:drab
霊夢改変キャラ
「12 3 ! {V} [_]」
公開中
L霊夢でもl_reimuでも好きなように読んでください

最新記事
最新コメント
月別アーカイブ
カテゴリ
検索フォーム
RSSリンクの表示
リンク