ANTICHAT — форум по информационной безопасности, OSINT и технологиям

.386
.model flat, stdcall
option casemap:none

includelib \masm32\lib\kernel32.lib

ExitProcess PROTO : DWORD
.data
	db 0
	ProcAd db "GetProcAddress",0h
	Counter db 0h
	OrdinalTableVA db 0h
	AddressTableVA db 0h
	Kernel db 0h
.code
	
	
start:
	;считаем дельта смещение
	call VirDelta
	VirDelta:
		sub dword ptr [esp], offset VirDelta
		push dword ptr [esp]
		;jmp ReadSEH
	
		; Читаем SEH
ReadSEH:
    xor    edx, edx              ; edx = 0
    assume fs:flat
    mov    eax, fs:[edx]         ; читаем элемент SEH
    dec    edx                   ; edx = 0FFFFFFFFh

; Ищем элемент со значением 0FFFFFFFFh
SearchKernel32:
    cmp    [eax], edx            ; сравниваем очередной с 0FFFFFFFFh
    je     CheckKernel32         ; прыгаем, если нашли
    mov    eax, [eax]            ; получаем следующее значение
    jmp    SearchKernel32        ; если не нашли - ищем дальше

; Определяем адрес Kernel32
CheckKernel32:
    mov    eax, [eax + 4]        ; получаем адрес ГДЕ-ТО в 
                                 ; kernel32.dll
    xor    ax, ax                ; выравниваем полученный адрес

; Ищем сигнатуру MZ
SearchKernelMZ:          
    cmp word ptr [eax], 5A4Dh    ; сверяем сигнатуру MZ
    je  CheckKernelMZ            ; сигнатура верна, переходим на 
                                 ; проверку сигнатуры PE
    sub eax, 10000h              ; если не равна MZ, то ищем дальше
    jmp SearchKernelMZ

; Проверяем сигнатуру PE
CheckKernelMZ:	
    mov  edx, [eax + 3Ch]        ; переходим на PE-заголовок
    cmp  word ptr [eax + edx], 4550h ; сверяем сигнатуру
    jne  _Exit                   ; неверная сигнатура, поэтому 
                                 ; выходим
	call GetAPI
	
_Exit:
		invoke ExitProcess, 0h
	
;поиск адреса GetProcessAddress
GetAPI:
mov edx, offset Kernel
mov [edx], eax
mov esi, offset ProcAd
mov edx, esi
@_1:
	cmp byte ptr [esi], 0; конец строки?
	jz @_2
	inc esi
	jmp @_1
@_2:
	inc esi
	sub esi, edx
	mov ecx, esi
;;теперь в ecx и esi находится размер имени функции GetProcessAddress (12h символов)


mov ebx, eax
xor eax, eax
mov esi, ebx
add esi, 3Ch ;заголовок PE
lodsw
add eax, ebx
mov esi, [eax + 78h] ;RVA таблицы экспортов
add esi, ebx ;указатель на RVA таблицы адресов
add esi, 1ch

lodsd ;eax = RVA таблицы адресов
add eax, ebx ;eax VA таблицы адресов
mov edx, offset AddressTableVA
mov[edx], eax
;push eax ;сохраняем

lodsd ;eax = RVA таблицы указателей на имена
add eax, ebx ; eax = VA таблицы указателей на имена

push eax ;сохраняем

lodsd ;eax = RVA таблицы ординалов
add eax, ebx
mov edx, offset OrdinalTableVA
mov [edx], eax
;push eax
pop esi
@_3: push esi ;сохраняем VA таблицы указателей на имена
	lodsd
	add eax, ebx
	mov esi, eax
	mov edi, offset ProcAd
	push ecx
	cld
	repe cmpsb
	pop ecx
	jz @_4
	pop esi
	add esi, 4
	mov edx, [offset Counter]
	inc edx
	push ecx
	mov ecx, offset Counter
	mov [ecx], edx
	pop ecx
	jmp @_3
	@_4:
	pop esi
	mov edx, offset Counter
	mov eax, [edx]
	shl eax, 1
	mov edx, offset OrdinalTableVA
	add eax, [edx]
	shl eax, 2
	mov edx, offset AddressTableVA
	add eax, [edx]
	mov edx, offset Kernel
	add eax, [edx]
	ret
	



	
		

end start