C# inline-asm / 嵌入x86汇编

2019-11-17 02:13:55

字体：大中小

来源：转载

供稿：网友

C#可不可以嵌入汇编可以在我眼中C#作为一个介于中上层语言是不可能不可以

置入汇编代码的为什么会被我认为中上层语言呢从C#保留指针就可以看出我知

道有很多人一定不会相信C#可以使用汇编代码不过C#会比较麻烦C#不可以直接

内联汇编(inline-asm)准确的说C#只可以使用(auto-asm)动态汇编这种技术不是

C#独有的易语言、VB、C++ 三种语言都可以不过动态汇编我见过最多的是被应

用在外挂方面及远程汇编注入实际上是属于动态汇编技术的一种扩展不过很难

说JIT在编译代码后是通过在远程把汇编代码写入托管进程执行的又或者说是一种

寄生在外壳程序中运行的技术及“内存运行” 懒得讨论这些一想到就头大。

从上图中你可以看见一份简单的x86 / call汇编在C#中内嵌并被调用

执行一看你会发现并不是太难我的一篇博文写了一大堆废话就是说

这个东西不过是易语言的http://blog.csdn.net/u012395622/article/details/46400569

我们知道软件运行时所有代码会放在虚拟内存中而可执行的代码在内存中

内存保护一般是PAGE_EXECUTE_READ及32不过经过我研究.NET上的

可执行代码应该是PAGE_EXECUTE_READWIRTE及64 如果是P/invoke

上执行DLL中的保护是32 就可以我们在内嵌汇编时不可以使用只读保护

如果我们需要使用由.NET去委托去Call那么必须是可读可写如果通过Win32

API去Call那么使用32就可以有些区别、我曾研究过易语言上字节集在内存

中的内存保护到底是多少结果与C#是一致 4 / PAGE_READWRITE不过为什

么易语言可以CALL而C#不可以CALL一直是让我感到较为迷惑的事情可能是

托管堆与非托管堆之间不同造成的不过我更希望有大神出来帮忙指点一下下。

由于是X86汇编首先需要把目标平台切换为x86 这样才不会造成C#调用汇编

代码时出错一定不要省略这个步骤

首先你需要定义一个有参数的委托重点在于在汇编中有这样一句话

call dWord ptr[ebp+8] // call 参数一

[csharp]view plaincopy

[UnmanagedFunctionPointer(CallingConvention.Cdecl)]
publicdelegateIntPtrCallMethod(IntPtrptr);

由于是在VC下内联的汇编最后移植到C# 一般在VC下函数的调用方式是cdcel

何况下面的是按照cdcel导出函数格式进行的所以不可以使用__stdcall的方式

[csharp]view plaincopy

[STAThread]
staticvoidMain(string[]args)
{
byte[]buf_asm={
//pushebp
//movebp,esp
//subesp,0C0h
//pushebx
//pushesi
//pushedi
//leaedi,[ebp-0C0h]
//movecx,30h
//moveax,0CCCCCCCCh
//repstosdwordptres:[edi]
85,139,236,129,236,192,0,0,0,83,86,87,141,189,64,
255,255,255,185,48,0,0,0,184,204,204,204,204,243,171,
//calldwordptr[ebp+8]
255,85,8,
//popedi
//popesi
//popebx
//movesp,ebp
//popebp
//ret
95,94,91,139,229,93,195
};
IntPtrptr_asm=SetHandleCount(buf_asm);
VirtualPRotect(ptr_asm,buf_asm.Length);
CallMethodcall_method=Marshal.GetDelegateForFunctionPointer(ptr_asm,typeof(CallMethod))asCallMethod;
call_method(Marshal.GetFunctionPointerForDelegate(newAction(Hello_x86)));
}

首先把你需要嵌入的汇编以字节数组的格式写出来然后通过

SetHandleCount函数是用于取地址指针的

[csharp]view plaincopy

staticvoidVirtualProtect(IntPtrptr,intsize)
{
intoutMemProtect;
if(!VirtualProtect(ptr,size,64,outoutMemProtect))
thrownewException("Unabletomodifymemoryprotection.");
}

上面的函数用于修改内存保护不过是为了让委托可以进行交互包括汇编代码可以被互调用

[csharp]view plaincopy

staticvoidHello_x86()
{
Console.Title=((newStackFrame()).GetMethod()).Name;
Console.WriteLine("Iwasx86assemblycallatestfunction.");
Console.ReadKey(false);
}

上面的函数是一个测试函数这个函数没有太大意义只是表现利用了汇编调用

本函数然后本函数输出一个回应的信息用于提示该函数被写入内存汇编调用

依赖的外部函数

[csharp]view plaincopy

[DllImport("kernel32.dll",CharSet=CharSet.Auto)]
publicstaticexternIntPtrSetHandleCount(byte[]value);
[DllImport("kernel32.dll",SetLastError=true)]
publicstaticexternboolVirtualProtect(IntPtrlpAddress,intdwSize,intflNewProtect,outintlpflOldProtect);

依赖的命名空间

[csharp]view plaincopy