运行时 NASM 链接库

Question

我遇到的这篇关于 windows shellcoding 的帖子展示了如何为位于 kernel32.dll 中的 Sleep 函数制作一个简单的 shellcode。我理解代码，但似乎你不能在不知道库中函数的确切地址的情况下调用函数，你必须使用帖子作者提供的arwin32.exe。

;sleep.asm
[SECTION .text]

global _start


_start:
        xor eax,eax
        mov ebx, 0x77e61bea ;address of Sleep
        mov ax, 5000        ;pause for 5000ms
        push eax
        call ebx        ;Sleep(ms);

Shellcoding for Linux and Windows

在 MASM32 中，仅包含库和 dll，但我不知道这是否与 NASM 中的情况相同，我尝试使用 RadAasm 包含 kernel32.lib 但出现错误。

对睡眠的未定义引用。

我的问题是：如何在不知道任何函数的确切地址的情况下调用 NASM 中的 Sleep 函数，无论是 GetProcAddress 等。

注意：即使是其他示例，他也提供了函数的绝对地址。

Answer 1

你可以使用extern关键字。

例如：

section .text

extern Sleep

global Start
Start:
  push ebp
  mov ebp, esp
  push 2000
  call Sleep
  mov esp, ebp
  pop ebp
  ret

您必须将编译后的目标文件与 kernel32.dll 链接。以下是使用 GoLink 的方法：

nasm -f win32 sleep.asm -o sleep.obj
GoLink /files /console sleep.obj kernel32.dll

您可以在这里找到 GoLink：www.godevtool.com/Golink.zip

如果您需要其他库中的函数而不使用 extern，您可能必须使用带有硬编码地址的 GetProcAddress。 kernel32.dll 会自动加载到每个进程的相同地址，因此 Sleep（和其他 kernel32 函数）应该具有恒定地址。因此，您必须使用一些工具来获取所需函数的地址，然后将其用作硬编码值（如示例中所示）。实际上我很久以前就尝试过，它确实有效，但我怀疑它取决于 Windows 版本。