[ERROR] Debugger Schutz bei Need For Speed Most wanted

[iNvIcTUs oRCuS]

(22.04.2012, 23:15)Hackjack schrieb: hmm @silent: könntest du mir sagen was ich bei deiner ausführung neben den JMP befehl schreiben muss um aus der code cave rauszugehen?

Kann ich dir nich sagen weil ich es nicht weiß... Nach dem Jump kommt die Adresse hin wohin man wieder raus aus der Codecave und zurück zum Originalcode springt.

Wenn Du also z.B. hier, an Adresse 0x4013BFh, ne Code Injection machst, also nen Sprung zu einer Codecave, dann überschreibst Du mit diesem Sprung dahin den Befehl der an dieser Adresse steht. Grund ist das der Far Jump dahin 5 Bytes beansprucht...
[code=ASM]004013BF - A9 BF 8A 0C 4D - test eax, 4D0C8ABF
004013C4 - B9 A7 D2 F7 94 - mov ecx, 94 F7 D2 A7[/code]

Sieht dann so aus, z.B....
[code=ASM]004013BF - E9 3C F0 FF FF - jmp 00400400
004013C4 - B9 A7 D2 F7 94 - mov ecx, 94F7D2A7[/code]

Und die Codecave sieht dann z.B. so aus...
[code=ASM]00400400 - A9 BF 8A 0C 4D - test eax, 4D0C8ABF
00400405 - E9 BA 0F 00 00 - jmp 004013C4[/code]

Bedenke, das ist nur ein Beispiel zur Veranschaulichung... Normalerweise kommen bei mir nicht solche "Tests" drin vor wo erst außerhalb der Codecave entschieden wird was pasieren soll. Wie gesagt geht nur ums Prinzip. Und wie Du siehst steht neben dem Jump Befehl in der Codecave die Adresse wo wieder zurück zum Originalcode gesprungen wird. Was dann in diesem Fall die Adresse 0x4013C4h wäre...