Все, что нужно знать, чтобы начать программировать для 64-разрядных версий Windows

• Первое, что вы заметите в x64-коде, сгенерированном компилятором, — насколько он похож на известный и любимый вами x86-код. Это вам не код для Intel IA64!
• Второе, на что вы обратите внимание, — имена регистров слегка отличаются от привычных и их гораздо больше. Имена регистров общего назначения в процессорах x64 начинаются с буквы R, например RAX, RBX и др. Это развитие старой схемы именования на основе префикса E для 32-битных регистров x86. В далеком прошлом, уже подернутом дымкой забвения, 16-битный регистр AX стал 32-битным EAX, 16-битный BX — 32-битным EBX и т. д. Таким образом, при переходе с 32-разрядных версий на 64-разрядные префикс E во всех именах регистров теперь заменяется префиксом R (скажем, RAX — наследник EAX, RBX продолжает дело EBX, RSI заменяет ESI и т. п.). Кроме того, появилось восемь новых регистров общего назначения (R8-R15).

• RAX, RBX, RCX, RDX, RSI, RDI, RSP, RBP
• R8, R9, R10, R11, R12, R13, R14, R15

1

CALL DWORD PTR [XXXXXXXX]

1

00401000: CALL DWORD PTR [00020000h]

1
2
3
4

RCX: 1-й целочисленный аргумент
RDX: 2-й целочисленный аргумент
R8: 3-й целочисленный аргумент
R9: 4-й целочисленный аргумент

Рис. 1. Передача целочисленных аргументов

Рис. 2. Создание новой конфигурации сборки

Рис. 3. Выбор платформы сборки

1
2
3

_M_IX86
_M_AMD64
_WIN64

1

#ifdef _M_AMD64

1

#ifdef _WIN64

1
2
3
4
5

#ifdef _M_AMD64
// Здесь находится x64-код
#else
// Здесь находится x86-код
#endif

1
2
3
4
5
6
7

#ifdef _M_AMD64
// Здесь находится x64-код
#elif defined (_M_IX86)
// Здесь находится x86-код
#else
#error !!! Нужно написать код для этой архитектуры
#endif

Рис. 4. Выбор платформы сборки

• /favor (оптимизация для особенностей архитектуры)

• Byte — 8 бит
• Word — 16 бит
• Double Word — 32 бит
• Quad Word — 64 бит
• Octa Word — 128 бит

• Массив
  Содержит упорядоченную группу смежных объектов данных. Каждый объект именуется элементом. Все элементы массива должны быть одного размера и принадлежать одному типу данных.
• Структура
  Содержит упорядоченную группу объектов данных. В отличие от элементов массива, объекты данных внутри структуры могут принадлежать разным типам и иметь разный размер. Каждый объект данных в структуре называется членом.
• Union
  Объект, содержащий любое из множества поименованных членов. Члены этого именованного набора могут быть любого типа. Область хранения, выделенная для объединения, равна области хранения, требующейся для члена этого объединения, имеющего наибольший размер, плюс заполнение, необходимое для выравнивания.

• Выравнивание массива аналогично выравниванию одного из элементов массива.
• Выравнивание начальной части структуры или объединения является максимальным выравниванием любого отдельного члена. Каждый член внутри структуры или объединения должен быть размещен в соответствии со своим выравнивании, как определено в предыдущей таблице, для чего может потребоваться неявное внутреннее заполнение в зависимости от предыдущего члена.
• Размер структуры должен быть целым числом, кратным его выравниванию, для чего может потребоваться заполнение после последнего члена. Поскольку структуры и объединения могут быть сгруппированы в массивы, каждый элемент массива в структуре или объединении должен начинаться и завершаться соответствующим предварительно определенным выравниванием.
• Возможно выравнивание данных с превышением требований к выравниванию при условии соблюдения ранее установленных правил.
• Отдельный компилятор может регулировать упаковку структуры из соображений ее размера. Например, /Zp (Выравнивание члена структуры) позволяет регулировать упаковку структур.

• Доступ к невыровненным расположениям может занимать слишком много времени по сравнению с доступом к выровненным расположениям.
• Невыровненные расположения не могут использоваться в блокируемых операциях.

1. все аргументы — целые числа
   

   Code
   1 2  func1(int a, int b, int c, int d, int e);   // a в RCX, b в RDX, c в R8, d в R9, e передается через стек

2. все аргументы - числа с плавающей запятой
   

   Code
   1 2  func2(float a, double b, float c, double d, float e);   // a в XMM0, b в XMM1, c в XMM2, d в XMM3, e передается через стек

3. аргументы — вперемешку целые и вещественные числа
   

   Code
   1 2  func3(int a, double b, int c, float d);   // a в RCX, b в XMM1, c в R8, d в XMM3

4. аргументаы — __m64, __m128 и агрегатные параметры
   

   Code
   1 2  func4(__m64 a, _m128 b, struct c, float d); // a в RCX, указатель на b в RDX, указатель на c в R8, d в XMM3

1
2
3
4

func1();
func2() {   // RCX = 2, RDX = XMM1 = 1.0, R8 = 7
   func1(2, 1.0, 7);
}

1. возвращаемое значение 64—разрядный результат
   

   Code
   1 2 3 __int64 func1 (int a, float b, int c, int d, int e); объект вызывающий функцию передает a в RCX, b в XMM1, c в R8, d в R9, e отправляет в стек, вызываемая функция возвращает результат __int64 через RAX.

2. возвращаемое значение — 128-битый результата
   

   Code
   1 2 3 __m128 func2 (float a, double b, int c, __m64 d); объект вызывающий функцию передает a в XMM0, b в XMM1, c в R8, d в R9, вызываемая функция возвращает результат __m128 в XMM0.

3. возвращаемое значение — результат пользовательского типа
   

   Code
   1 2 3 4 struct1 func3 (int a, double b, int c, float d); объект вызывающий функцию выделяет память для возвращаемой структуры struct1 и передает указатель в RCX, //a в RDX, b в XMM2, c в R9, d отправлен в стек, функция возвращает указатель на struct1 через RAX.

1
2
3
4
5
6
7

mov       [RSP + 8], RCX
push   R15
push   R14
push   R13
sub      RSP, fixed-allocation-size
lea      R13, [RSP+128]
...

1
2
3
4
5
6
7
8
9

mov       [RSP + 8], RCX
push   R15
push   R14
push   R13
mov      RAX,  fixed-allocation-size
call   __chkstk
sub      RSP, RAX
lea      R13, [RSP+128]
...

1
2
3
4
5

add      RSP,fixed-allocation-size
pop      R13
pop      R14
pop      R15
ret

1
2
3
4
5
6
7

lea      RSP,[R13-128]
; epilogue proper starts here
add      RSP, fixed-allocation-size
pop      R13
pop      R14
pop      R15
ret

1
2
3
4
5

lea      RSP,[R13–128+fixed-allocation-size]
pop      R13
pop      R14
pop      R15
ret

• Версия
  Номер версии данных возврата, текущая версия — 1.
• Флаги
  В настоящее время определены три флага:
  • UNW_FLAG_EHANDLER функция содержит обработчик исключений, который должен вызываться и функции, которые необходимо проанализировать исключения.
  • UNW_FLAG_UHANDLER функция содержит обработчик завершения, который должен вызываться развертывание исключение.
  • UNW_FLAG_CHAININFO это разматывает структуру нет основные сведения и процедуры. Вместо этого запись информации очистки является содержимым предыдущей записи RUNTIME_FUNCTION. Просмотрите дальнейший текст, поясняющий структуры зависимой информации очистки. Если этот флаг установлен, тогда флаги UNW_FLAG_EHANDLER и UNW_FLAG_UHANDLER должны быть сняты. Кроме того, регистр кадра и фиксированные поля выделения стека должны иметь значения, совпадающие с значениями основной информации очистки.
• Размер пролога
  Длина пролога функции в байтах.
• Счетчик кодов очистки
  Количество гнезд в массиве кодов очистки. Обратите внимание на то, что некоторые коды очистки (например, UWOP_SAVE_NONVOL) требуют больше одного гнезда в массиве.
• Регистр кадра
  Если значение отличается от нулевого, то функция использует указатель кадра, а это поле является номером постоянного регистра, используемого в качестве указателя кадра с той же кодировкой, что и для поля информации об операции узлов UNWIND_CODE.
• Смещение регистра кадра (масштабированное)
  Если поле регистра кадра отлично от нуля, то это поле содержит масштабированное смещение от RSP, примененного к FP reg после его установки. Действительное значение FP reg задается как RSP + 16 * это число, что делает возможными смещения от 0 до 240. Это разрешает направление FP reg в середину локального выделения стека для динамических кадров стека, обеспечивая лучшую плотность кода за счет использования более коротких инструкций (больше инструкций могут использовать для смещения 8-разрядное знаковое число).
• Массив кодов очистки
  Это массив элементов, объясняющий степень воздействия пролога на постоянные регистры и RSP. Просмотрите подраздел об использовании UNWIND_CODE для значений индивидуальных элементов. Чтобы выполнить выравнивание, этот массив всегда будет иметь четное количество записей с потенциально неиспользуемой последней записью (в таком случае массив будет на одну запись длиннее, чем указано счетчиком полей кодов очистки).
• Адрес обработчика исключений
  Это относительный указатель на обработчик языковых исключений или обработчик завершений функции (если флаг UNW_FLAG_CHAININFO снят, а один из флагов UNW_FLAG_EHANDLER или UNW_FLAG_UHANDLER установлен).
• Данные обработчика определенного языка
  Это данные обработчика исключений выбранного языка функции. Формат этих данных не указан и полностью определяется конкретным используемым обработчиком исключений.
• Зависимая информация очистки
  Если флаг UNW_FLAG_CHAININFO установлен, тогда структура UNWIND_INFO завершается тремя UWORD. Эти UWORD представляют связанную информацию RUNTIME_FUNCTION для обращаемой функции.

• Смещение в прологе
  Смещение от начала пролога конца инструкции, которая выполняет данную операцию, плюс 1 (это расположение следующей инструкции).
• Код завершающей операции
  Примечание. В кодах некоторых операций необходимо использовать смещение без учета знака в качестве значения в локальном кадре стека. Это смещение отсчитывается от начала (нижнего адреса) выделенного фиксированного пространства стека. Если поле регистра кадра стека в структуре UNWIND_INFO является пустым, то смещение отсчитывается от RSP. Если поле регистра кадра стека не является пустым, смещение отсчитывается от расположения RSP в момент установки регистра FP. Оно рассчитывается как регистр FP минус смещение регистра FP (16 * масштабированное смещение регистра кадра стека в UNWIND_INFO). При использовании регистра FP любой код раскрутки со смещением должен использоваться только после установки в прологе регистра FP.
  
  Для всех кодов операций кроме UWOP_SAVE_XMM128 и UWOP_SAVE_XMM128_FAR смещение будет кратным 8, поскольку хранимые в стеке значения выравниваются до 8 байт (сам стек всегда выравнивается до 16 байт). Для кодов операций с коротким смещением (менее 512 Кбайт) завершающий USHORT в узлах кода содержит смещение, разделенное на 8. Для кодов операций с длинным смещением (от 512 Кбайт до 4 Гбайт) два завершающих узла USHORT кода содержат смещение (с прямым порядком следования байтов).
  
  Для кодов операций UWOP_SAVE_XMM128 и UWOP_SAVE_XMM128_FAR смещение будет кратным 16, поскольку все 128-битные операции XMM должны выполняться в памяти, выровненной до 16 байт. Поэтому для операции UWOP_SAVE_XMM128 используется масштабный коэффициент 16, который позволяет использовать смещение до 1 МБ.
  
  Кодом завершающей операции может быть:
  
  узел UWOP_PUSH_NONVOL (0)1
  
  Отправка энергонезависимого регистра целых чисел с уменьшением значения RSP в 8 раз. Значение в поле сведений об операции является числом регистра. Обратите внимание, что из-за ограничений, накладываемых на эпилог, коды раскрутки UWOP_PUSH_NONVOL должны использоваться первыми в прологе и, соответственно, последними в массиве кодов раскрутки. Этот относительный порядок применяется ко всем другим кодам раскрутки операций, за исключением UWOP_PUSH_MACHFRAME.
  
  Узлы UWOP_ALLOC_LARGE (1)2 или 3
  
  Выделение для стека большого объема памяти. Существуют два варианта. Если в поле сведений об операции содержится значение ноль, в соседнюю ячейку записывается размер выделенной памяти, поделенный на 8. Если в поле сведений об операции содержится значение 1, то в следующие две ячейки записывается размер выделенной памяти без масштабирования с прямым порядком следования байтов. Это позволяет выделять до 4 ГБ - 8.
  
  узел UWOP_ALLOC_SMALL (2)1
  
  Выделение для стека небольшого объема памяти. Размер выделения рассчитывается как число в поле сведений об операции * 8 + 8, что позволяет выделять от 8 до 128 байт.
  
  Код раскрутки должен всегда использовать наиболее короткую кодировку для выделения памяти в стеке.
  

  Размер выделения	Код раскрутки
  От 8 до 128 байт	UWOP_ALLOC_SMALL
  От 136 до 512 КБ - 8 байт	UWOP_ALLOC_LARGE, operation info = 0
  От 512 КБ до 4 ГБ – 8 байт	UWOP_ALLOC_LARGE, operation info = 1

  узел UWOP_SET_FPREG (3)1
  
  Установите регистр указателя кадра стека, задав для регистра какое-либо смещение текущего RSP. Это смещение рассчитывается как значение (масштабированное) смещения в поле регистра указателя кадра стека UNWIND_INFO * 16, что разрешает смещение со значением от 0 до 240. Использование смещения позволяет установить указатель кадра стека по центру фиксированного выделения стека, что способствует повышению плотности кода и разрешает использовать большее количество форм коротких инструкций. Обратите внимание, что поле сведений об операции является зарезервированным и не должно использоваться.
  
  UWOP_SAVE_NONVOL (4)2 узла
  
  Сохраните энергонезависимый регистр целых чисел в стеке, используя функцию MOV вместо PUSH. Как правило, она применяется для создания изолированного кода, при котором энергонезависимый регистр сохраняется в стеке в том положении, которое было ранее выделено. Значение в поле сведений об операции является числом регистра. Смещение стека (масштабированное по 8) записывается в следующей ячейке кода завершающей операции, как описано выше в примечании.
  
  Узлы UWOP_SAVE_NONVOL_FAR (5)3
  
  Сохраните энергонезависимый регистр целых чисел в стеке с длинным смещением, используя функцию MOV вместо PUSH. Как правило, она применяется для создания изолированного кода, при котором энергонезависимый регистр сохраняется в стеке в том положении, которое было ранее выделено. Значение в поле сведений об операции является числом регистра. Смещение стека (немасштабированное) записывается в следующих двух ячейках кода завершающей операции, как описано выше в примечании.
  
  Узлы UWOP_SAVE_XMM128 (8)2
  
  Сохраните все 128 байт энергонезависимого регистра XMM в стеке. Значение в поле сведений об операции является числом регистра. Смещение стека (масштабированное на 16) записывается в следующую ячейку.
  
  Узлы UWOP_SAVE_XMM128_FAR (9)3
  
  Сохраните все 128 байт энергонезависимого регистра XMM в стеке с длинным смещением. Значение в поле сведений об операции является числом регистра. Смещение стека (немасштабированное) записывается в следующие две ячейки.
  
  узел UWOP_PUSH_MACHFRAME (10)1
  
  Передача машинного кадра Используется для записи воздействия аппаратного вмешательства или исключения. Существуют два варианта. Если в поле сведений об операции значение ноль, значит в стек были переданы следующие данные:
  

  RSP+32	SS
  RSP+24	Old RSP
  RSP+16	EFLAGS
  RSP+8	CS
  RSP	RIP

  Если в поле сведений об операции значение "1", значит в стек были переданы следующие данные:
  

  RSP+40	SS
  RSP+32	Old RSP
  RSP+24	EFLAGS
  RSP+16	CS
  RSP+8	RIP
  RSP	Код ошибки

  Этот код раскрутки должен всегда присутствовать в фиктивном прологе, который никогда не выполняется, но присутствует перед реальной точкой входа подпрограммы прерывания и существует, только чтобы предоставить место для имитации передачи машинного кадра. UWOP_PUSH_MACHFRAME записывает эту имитацию, что означает, что компьютер концептуально выполнил следующее:
  1. Перемещение обратного адреса RIP с вершины стека в Temp
  2. Передача SS
  3. Передача old RSP
  4. Передача EFLAGS
  5. Передача CS
  6. Передача Temp
  7. Передача кода ошибки (если в поле сведений об операции значение "1")
  Смоделированная операция UWOP_PUSH_MACHFRAME уменьшает RSP на 40 (если в поле сведений об операции значение "0") или 48 (если в поле сведений об операции значение "1")
• Сведения об операции
  Значение этих 4 байт зависит от кода операции. Чтобы выполнить кодирование регистра (целых чисел) общего назначения, используется следующее сопоставление.
  

  0	RAX
  1	RCX
  2	RDX
  3	RBX
  4	RSP
  5	RBP
  6	RSI
  7	RDI
  От 8 до 15	Запросы из R8 в R15

1

PRUNTIME_FUNCTION primaryUwindInfo = (PRUNTIME_FUNCTION)&(unwindInfo-]UnwindCode[( unwindInfo-]CountOfCodes + 1 ) & ~1]);

1. Для поиска записи в таблице RUNTIME_FUNCTION, описывающей текущую функцию (или часть функции, в случае связанных записей UNWIND_INFO) следует использовать текущую версию защиты остаточных данных (RIP), сохраняемых в записи контекста.
2. Если записи в таблице функций не найдено, то она находится в конечной функции, а RSP обращается напрямую к указателю возврата. Указатель возврата в [RSP] сохраняется в обновленном контексте, смоделированный RSP получает приращение на 8, и шаг 1 повторяется.
3. Если запись в таблице функций найдена, то RIP может лежать в трех областях — a) в заключительной части, b) в прологе или c) в коде, доступном обработчику исключений.
   • Случай a) Если RIP находится в заключительной части, то элемент управления выходит из функции, отсутствует обработчик исключения для этой функции, а результаты заключительной части должны обрабатываться и далее до вычисления контекста вызывающей функции. Чтобы определить, лежит ли RIP в заключительной части, необходимо исследовать поток кода из включенного RIP. Если поток кода может соответствовать конечной части допустимого эпилога, то это будет эпилог, а остальная часть эпилога будет смоделирована, при этом запись контекста будет обновляться при обработке каждой инструкции. После этого повторяется выполнение шага 1.
   • Случай b) Если RIP находится в прологе, то элемент управления не вошел в функцию, отсутствует обработчик исключения для этой функции, а результаты пролога должны быть отменены для вычисления контекста вызывающей функции. RIP лежит в прологе, если расстояние от начала функции до RIP меньше либо равно размеру пролога, закодированному в информации об очистке. Результаты в прологе очищаются при просмотре вперед по массиву кода очистки для первой записи со смещением, меньшим либо равным смещению RIP от начала функции, после чего выполняется отмена результата для всех остальных элементов в массиве кода очистки. После этого повторяется выполнение шага 1.
   • Случай c) Если RIP не лежит в прологе или в заключительной части, и для функции имеется обработчик исключений (установлен флаг UNW_FLAG_EHANDLER), то вызывается обработчик конкретного языка. Обработчик просматривает данные и вызывает соответствующие функции фильтра. Обработчик, специфичный для конкретного языка, может возвращать результат, указывающий на то, что исключение было обработано, либо на то, что поиск следует продолжить. Он может также инициировать очистку напрямую.
4. Если обработчик, специфичный для конкретного языка, возвращает состояние "обработано", то выполнение продолжается с использованием исходной записи контекста.
5. Если обработчик, специфичный для конкретного языка, отсутствует, либо если возвращает результат "продолжить поиск", запись контекста должна быть очищена до состояния вызывающего объекта. Эта выполняется путем обработки всех элементов массива кода очистки с отменой результата для каждого элемента. После этого повторяется выполнение шага 1.

1
2
3
4
5
6

typedef EXCEPTION_DISPOSITION (*PEXCEPTION_ROUTINE) (
    IN PEXCEPTION_RECORD ExceptionRecord,
    IN ULONG64 EstablisherFrame,
    IN OUT PCONTEXT ContextRecord,
    IN OUT PDISPATCHER_CONTEXT DispatcherContext
);

1
2
3
4
5
6
7
8
9
10

typedef struct _DISPATCHER_CONTEXT {
    ULONG64 ControlPc;
    ULONG64 ImageBase;
    PRUNTIME_FUNCTION FunctionEntry;
    ULONG64 EstablisherFrame;
    ULONG64 TargetIp;
    PCONTEXT ContextRecord;
    PEXCEPTION_ROUTINE LanguageHandler;
    PVOID HandlerData;
} DISPATCHER_CONTEXT, *PDISPATCHER_CONTEXT;

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

sample PROC FRAME   
   db      048h; emit a REX prefix, to enable hot-patching
push rbp
.pushreg rbp
sub rsp, 040h
.allocstack 040h   
lea rbp, [rsp+020h]
.setframe rbp, 020h
movdqa [rbp], xmm7
.savexmm128 xmm7, 020h;the offset is from the base of the frame
;not the scaled offset of the frame
mov [rbp+018h], rsi
.savereg rsi, 038h
mov [rsp+010h], rdi
.savereg rdi, 010h; you can still use RSP as the base of the frame
; or any other register you choose
.endprolog
 
; you can modify the stack pointer outside of the prologue (similar to alloca)
; because we have a frame pointer.
; if we didn’t have a frame pointer, this would be illegal
; if we didn’t make this modification,
; there would be no need for a frame pointer
 
sub rsp, 060h
 
; we can unwind from the following AV because of the frame pointer
 
mov rax, 0
mov rax, [rax] ; AV!
 
; restore the registers that weren’t saved with a push
; this isn’t part of the official epilog, as described in section 2.5
 
movdqa xmm7, [rbp]
mov rsi, [rbp+018h]
mov rdi, [rbp-010h]
 
; Here’s the official epilog
 
lea rsp, [rbp-020h]
pop rbp
ret
sample ENDP

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

SkFrame struct 
Fill    dq ?; fill to 8 mod 16 
SavedRdi dq ?; saved register RDI 
SavedRsi dq ?; saved register RSI 
SkFrame ends
 
sampleFrame struct
Filldq?; fill to 8 mod 16
SavedRdidq?; Saved Register RDI 
SavedRsi  dq?; Saved Register RSI
sampleFrame ends
 
sample2 PROC FRAME
alloc_stack(sizeof sampleFrame)
save_reg rdi, sampleFrame.SavedRdi
save_reg rsi, sampleFrame.SavedRsi
.end_prolog
 
; function body
 
mov rsi, sampleFrame.SavedRsi[rsp]
mov rdi, sampleFrame.SavedRdi[rsp]
 
; Here’s the official epilog
 
add rsp, (sizeof sampleFrame)
ret
sample2 ENDP

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61

typedef enum _UNWIND_OP_CODES {
    UWOP_PUSH_NONVOL = 0, /* info == register number */
    UWOP_ALLOC_LARGE,     /* no info, alloc size in next 2 slots */
    UWOP_ALLOC_SMALL,     /* info == size of allocation / 8 - 1 */
    UWOP_SET_FPREG,       /* no info, FP = RSP + UNWIND_INFO.FPRegOffset*16 */
    UWOP_SAVE_NONVOL,     /* info == register number, offset in next slot */
    UWOP_SAVE_NONVOL_FAR, /* info == register number, offset in next 2 slots */
    UWOP_SAVE_XMM128,     /* info == XMM reg number, offset in next slot */
    UWOP_SAVE_XMM128_FAR, /* info == XMM reg number, offset in next 2 slots */
    UWOP_PUSH_MACHFRAME   /* info == 0: no error-code, 1: error-code */
} UNWIND_CODE_OPS;
 
typedef union _UNWIND_CODE {
    struct {
        UBYTE CodeOffset;
        UBYTE UnwindOp : 4;
        UBYTE OpInfo   : 4;
    };
    USHORT FrameOffset;
} UNWIND_CODE, *PUNWIND_CODE;
 
#define UNW_FLAG_EHANDLER  0x01
#define UNW_FLAG_UHANDLER  0x02
#define UNW_FLAG_CHAININFO 0x04
 
typedef struct _UNWIND_INFO {
    UBYTE Version       : 3;
    UBYTE Flags         : 5;
    UBYTE SizeOfProlog;
    UBYTE CountOfCodes;
    UBYTE FrameRegister : 4;
    UBYTE FrameOffset   : 4;
    UNWIND_CODE UnwindCode[1];
/*  UNWIND_CODE MoreUnwindCode[((CountOfCodes + 1) & ~1) - 1];
*   union {
*       OPTIONAL ULONG ExceptionHandler;
*       OPTIONAL ULONG FunctionEntry;
*   };
*   OPTIONAL ULONG ExceptionData[]; */
} UNWIND_INFO, *PUNWIND_INFO;
 
typedef struct _RUNTIME_FUNCTION {
    ULONG BeginAddress;
    ULONG EndAddress;
    ULONG UnwindData;
} RUNTIME_FUNCTION, *PRUNTIME_FUNCTION;
 
#define GetUnwindCodeEntry(info, index) \
    ((info)-]UnwindCode[index])
 
#define GetLanguageSpecificDataPtr(info) \
    ((PVOID)&GetUnwindCodeEntry((info),((info)-]CountOfCodes + 1) & ~1))
 
#define GetExceptionHandler(base, info) \
    ((PEXCEPTION_HANDLER)((base) + *(PULONG)GetLanguageSpecificDataPtr(info)))
 
#define GetChainedFunctionEntry(base, info) \
    ((PRUNTIME_FUNCTION)((base) + *(PULONG)GetLanguageSpecificDataPtr(info)))
 
#define GetExceptionDataPtr(info) \
    ((PVOID)((PULONG)GetLanguageSpecificData(info) + 1)

• либо Windows Driver Kits Version 7.1.0 (WDK)
• либо MICROSOFT WINDOWS SOFTWARE DEVELOPMENT KIT FOR WINDOWS 7 and .NET FRAMEWORK 4 (SDK)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

OPTION DOTNAME
option casemap:none
include \x64\include\temphls.inc
include \x64\include\win64.inc
include \x64\include\kernel32.inc
include \x64\include\user32.inc
includelib \x64\lib\kernel32.lib
includelib \x64\lib\user32.lib
.data
MsgCaption      db "Iczelion's tutorial #2",0
MsgBoxText      db "Win64 Assembly is Great!",0
.code
WinMain proc 
    invoke MessageBox,0,&MsgBoxText,&MsgCaption,0
        invoke ExitProcess,0
WinMain endp
end

1
2
3
4
5

set file=msgbox
set path=\x64\
%path%bin\ml64 %file%.asm /link /subsystem:windows /entry:WinMain
del %file%.obj
del mllink$.lnk

1
2
3
4
5
6
7
8

    sub rsp,28h
    xor rcx,rcx
    xor r9d,r9d
    lea rdx,[140000287];"Win64 Assembly is Great!"
    lea r8,[140000270];"Iczelion Tutorial #2:MessageBox"
    call MessageBoxA
    xor ecx,ecx
    call ExitProcess

• Программа-компановщик link.exe имеет ключ /ALIGN:размер. Ключ /ALIGN[MENT] ― указывает компановщику на необходимость выравнивания сегментов в исполняемом файле на границу, кратную значению размер. Здесь размер ― это число равное степени двойки (2⁰=1, 2¹=2, 2²=4, 2³=8, ..., 2⁹=512 до 64 К включительно).
  Если об этом ключе не упоминать, то выравнивание равно 512 байт для совместимости с программами созданными для Windows 95/98. Посмотреть значение выравнивания можно при помощи любимого редактора бинарных файлов hiew32 в заголовке программы в поле «File alignment» (Открываем наш exe программой hiew32, нажимаем F4 (Mode) и выбираем Hex, нажимаем F8 (Header) в поле «File alignment» видим число 200h=512).

• Добавление ключа компиляции /Cp ― «сохранить регистр символов во всех идентификаторах» позволяет не писать каждый раз в тексте ассемблерного файла «option casemap:none».
• Добавление ключа компиляции /I:путь ― «установить путь для включаемых файлов» позволяет нам не указывать каждый раз полный путь к inc-файлам.
• Ключ /LIBPATH:путь говорит линкеру, где находятся библиотеки импорта, что позволяет нам не указывать каждый раз полный путь к lib-файлам.

1
2
3
4
5

set file=msgbox
set path=\x64\
%path%bin\ml64 %file%.asm /link /subsystem:windows /entry:WinMain
del %file%.obj
del mllink$.lnk

1
2
3
4
5
6

set file=msgbox
set path=\x64\
%path%bin\ml64 /Cp /I%path%include %file%.asm /link /subsystem:windows ^
/LIBPATH:%path%lib /ALIGN:256 /entry:WinMain
del %file%.obj
del mllink$.lnk

• Объединения сегмента кода и сегмента данных можно добиться если использовать опцию линкера /SECTION.
  Опция командной строки компановщика link.exe /SECTION:name,[[!]{DEKPRSW}][,ALIGN=#] позволяет принудительно назначать атрибуты секциям PE-файла. Для секции можно задать один или несколько атрибутов. Следует задавать все атрибуты, которые должна иметь секция; если какой-либо знак атрибута не указан, то его бит будет отключен. Если не указан атрибут R, W или E, то существующее состояние чтения, записи или исполнения остается неизмененным. Чтобы инвертировать атрибут, перед его символом указывают знак «!». С помощью параметра ALIGN=# можно задать значение выравнивания для конкретной секции. Значения знаков атрибутов приведены в следующей таблице.
  

  буква	атрибут	значение	перевод
  D	Discardable	Marks the section as discardable	Секция помечается как выгружаемая
  E	Execute	The section is executable	Секция является выполняемой
  K	Cacheable	Marks the section as not cacheable	Секция помечается как некэшируемая
  P	Pageable	Marks the section as not pageable	Секция помечается как секция без страничной организации
  R	Read	Allows read operations on data	Допускаются операции чтения данных
  S	Shared	Shares the section among all processes that load the image	Секция совместно используется всеми процессами, загружающими образ
  W	Write	Allows write operations on data	Допускаются операции записи данных

  В данном случае секции с именем «.text» (содержащей код программы) и уже имеющей атрибуты R (доступна для чтения) и E (исполнимая), устанавливается атрибут W (доступна для записи)
  

  Code
  1 /SECTION:.text,W

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

include win64.inc
include user32.inc
include kernel32.inc
includelib user32.lib
includelib kernel32.lib
 
.code
MsgCaption db "Iczelion's tutorial #2", 0
MsgBoxText db "Win64 Assembly is Great!", 0
 
WinMain proc
    sub rsp, 28h        ; space for 4 arguments + 16byte aligned stack
    xor r9d, r9d        ; 4. argument: r9d = uType = 0
    lea r8, MsgCaption  ; 3. argument: r8  = caption
    lea rdx,MsgBoxText  ; 2. argument: edx = window text
    xor ecx, ecx        ; 1. argument: rcx = hWnd = NULL
    call MessageBox
    xor ecx, ecx        ; ecx = exit code
    call ExitProcess
WinMain endp

1
2
3
4
5
6

set file=msgbox
set path=\x64\
%path%bin\ml64 /Cp /I"%path%include" %file%.asm /link /subsystem:windows ^
/LIBPATH:"%path%lib" /ALIGN:16 /SECTION:.text,W /entry:WinMain
del %file%.obj
del mllink$.lnk

1
2
3
4

.40000300:   E2 01 4D 65 73 73 61 67  65 42 6F 78 41 00 75 73 т MessageBoxA us
.40000310:   65 72 33 32 2E 64 6C 6C  00 00 BC 00 45 78 69 74 er32.dll    Exit
.40000320:   50 72 6F 63 65 73 73 00  6B 65 72 6E 65 6C 33 32 Process kernel32
.40000330:   2E 64 6C 6C 00 00 00 00  00 00 00 00 00 00 00 00 .dll

1
2
3
4

.000000:   4D 5A 00 00 00 00 00 00  00 00 00 00 00 00 00 00 MZ
.000010:   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00
.000020:   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00
.000030:   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00

1
2
3
4
5
6

set file=msgbox
set path=\x64\
%path%bin\ml64 /Cp /I"%path%include" %file%.asm /link /subsystem:windows ^
/LIBPATH:"%path%lib" /ALIGN:16 /SECTION:.text,W /STUB:stubby.exe /entry:WinMain
del %file%.obj
del mllink$.lnk

1. за основу бинарного файла возьмем msgbox.exe размером 832 байта
   Кликните здесь для просмотра всего текста

   Assembler

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 IMAGE_DOS_SIGNATURE     equ 5A4Dh IMAGE_NT_SIGNATURE      equ 00004550h PROCESSOR_AMD_X8664     equ 8664h IMAGE_SCN_CNT_CODE      equ 00000020h IMAGE_SCN_MEM_WRITE     equ 80000000h IMAGE_SCN_MEM_READ      equ 40000000h IMAGE_SCN_CNT_INITIALIZED_DATA  equ 00000040h IMAGE_SUBSYSTEM_WINDOWS_GUI equ 2 IMAGE_NT_OPTIONAL_HDR64_MAGIC   equ 20Bh IMAGE_FILE_RELOCS_STRIPPED  equ 1 IMAGE_FILE_EXECUTABLE_IMAGE equ 2   include 'win64a.inc' use16 org 0 ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE Bytes_on_last_page  dw 0x90 Page_in_line        dw 3 Relocations_count   dw 0 Paragraphs_in_header    dw 4 Minimum_memory      dw 0 Maximum_memory      dw 0xFFFF SS_SP_setting       dw 0,0xB8 Checksum        dw 0 CS_IP_setting       dw 0,0 Relocations_table_address dw 0x40 Overlay_number      dw 0    times 4 dq 0 NewExe_offset       dd ntHeader     push cs     pop ds     mov dx,string     mov ah,9     int 21h     mov ax,0x4C01     int 21h use64 string db 'This program cannot be run in DOS mode.',0xD,0xD,0xA,'$' times 17*4+3 db 0 ;-------PE-заголовок-------------------------------------------------- ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header----Файловый заголовок Machine         dw PROCESSOR_AMD_X8664;Тип центрального процессора Count_of_section    dw 2;Количество секций TimeStump       dd 0;Информация о времени, когда был собран данный PE-файл Symbol_table_offset dd 0;Указатель на размер отладочной информации Symbol_table_count  dd 0;Указатель на COFF-таблицу символов PE-формата Size_of_optional_header dw section_table-optional_header;Размер опционального заголовка Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or \ IMAGE_FILE_EXECUTABLE_IMAGE;Атрибуты файла ;-------Стандартные поля NT optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC;Состояние отображаемого файла Linker_version_major_and_minor dw 9;Содержат версию линковщика, создавшего данный файл. Size_of_code        dd 0x60;Суммарный размер секций кода Size_of_init_data   dd 0xC0;Суммарный размер инициализированных данных Size_of_uninit_data dd 0;Суммарный размер неинициализированных данных entry_point     dd start;Относительный адрес точки входа, отсчитываемый ;от начала Image Base. Из всех стандартных полей, поле entry_point является наиболее ;интересным для формата PE файлов. Это поле содержит адрес точки входа приложения, ;и, что, вероятно, более важно для для хакеров, местоположение конца Import Address ;Table (таблицы импортируемых адресов - IAT). base_of_code        dd begin;Относительные базовые адреса кодовой секции. ;Относительное смещение сегмента кода («.text» сегмент) в загруженном файле. ;------Дополнительные поля NT----------------------------------------------- image_base      dq 0x140000000;Базовый адрес загрузки страничного имиджа. ;Предпочтительный адрес в адресном пространстве процесса для загрузки исполнимого ;файла. Линковщик подставляет «значение по умолчанию», но это значение можно ;изменить с помощью опции линковщика BASE:. section_alignment   dd 0x10;Кратность выравнивания секций в памяти. Сегменты ;загружаются в адресное пространство процесса последовательно, начиная с ImageBase. ;section_alignment предписывает минимальный размер, который сегмент может занять ;при загрузке - так что сегменты оказываются выровненными по границе section_alignment. ;Выравнивание сегмента не может быть меньше размера страницы (в настоящий момент 4096 ;байт на платформе x86), и должно быть кратно размеру страницы, как предписывает ;поведение менеджера виртуальной памяти Windows NT. 4096 (=1000h) байт являются ;«значением по умолчанию», но может быть установлено любое другое значение, при ;использовании опции линковщика ALIGN: file_alignment      dd 0x10; OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd 16 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import resurce         dq 0 exception       dq 0 security        dq 0 fixups_         dq 0 debug           dq 0 description     dq 0 MIPS_GP         dq 0 TLS         dq 0 Load_config     dq 0 Bound_import        dq 0 import_table1       dd Import_Table,0x20 delay_import        dq 0 com_runtime     dq 0 reserved        dq 0 ;------------------------------------------------ section_table       dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dq '.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;--------данные и код----------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;---------секция импорта--------------------------------------- times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd user32_table2,0,0,user32_dll,user32_table dd kernel32_table2,0,0,kernel32_dll,kernel32_table dq 0,0,0 kernel32_table2: dq _ExitProcess,0 user32_table2: dq _MessageBox,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32.dll",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32.dll" dd 0,0,0 end_import:

   заголовок	код и данные	импорт	общий размер
   544	96	192	832 байт

2. сократим DOS-stub до 64 байт, уменьшение таблицы разделов, по умолчанию количество разделов должно быть равным 16, нам же требуется только секция импорта. В таблице разделов секция импорта идет сразу после секции экспорта.
   
   Кликните здесь для просмотра всего текста

   Assembler

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 include 'win64a.inc' use64 org 0 ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE ;так как мы не собираемся наше приложение запускать под DOS поэтому названия ;и содержимое полей DOS-стаба нам не интересно, для нас представляют интерес ;только два поля Signature и NewExe_offset, остальные поля заполним нулями times 58 db 0 NewExe_offset       dd ntHeader ;-------PE-заголовок------------------------------ ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- Machine         dw PROCESSOR_AMD_X8664 Count_of_section    dw 2 times 3 dd 0 Size_of_optional_header dw section_table-optional_header; Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or \ IMAGE_FILE_EXECUTABLE_IMAGE ;20h  - Handle >2Gb addresses ;------------------------------------- optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC Linker_version_major_and_minor dw 9 Size_of_code        dd 0x60;end_import-start Size_of_init_data   dd 0xC0 Size_of_uninit_data dd 0 entry_point     dd start base_of_code        dd begin image_base      dq 0x140000000 section_alignment   dd 0x10 file_alignment      dd 0x10 OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd (section_table-export_RVA)/8 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import ;------------------------------------------------ section_table       dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dq '.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;------------------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;---------секция импорта--------------------------------------- times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd user32_table2,0,0,user32_dll,user32_table dd kernel32_table2,0,0,kernel32_dll,kernel32_table dq 0,0,0 kernel32_table2: dq _ExitProcess,0 user32_table2: dq _MessageBox,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32.dll",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32.dll" dd 0,0,0 end_import:

   Приложение сократилось до размера 592 байт
   

   заголовок	код и данные	импорт	общий размер
   304	96	192	592 байт

3. Что можно сократить в секции импорта? Секция импорта содержит две одинаковые таблицы (Import LookUp Table и Import Address Table), содержащие ссылки на названия импортируемых функций. Можно ли обойтись только таблицей Import Address Table? Удаляем Import LookUp Table и обнуляем ссылки на kernel32_table2 и user32_table2
   
   Кликните здесь для просмотра всего текста

   Assembler

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 include 'win64a.inc'   use64 org 0   ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE times 58 db 0 NewExe_offset       dd ntHeader ;-------PE-заголовок------------------------------ ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- Machine         dw PROCESSOR_AMD_X8664 Count_of_section    dw 2 times 3 dd 0 Size_of_optional_header dw section_table-optional_header; Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or \ IMAGE_FILE_EXECUTABLE_IMAGE ;20h Handle >2Gb addresses ;------------------------------------- optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC Linker_version_major_and_minor dw 9 Size_of_code        dd 0x60;end_import-start Size_of_init_data   dd 0xC0 Size_of_uninit_data dd 0 entry_point     dd start base_of_code        dd begin image_base      dq 0x140000000 section_alignment   dd 0x10 file_alignment      dd 0x10 OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd (section_table-export_RVA)/8 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import ;------------------------------------------------ section_table       dd 'xet.','t';'.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dd 'adr.','at';'.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;------------------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;---------секция импорта--------------------------------------- times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd 0,0,0,user32_dll,user32_table dd 0,0,0,kernel32_dll,kernel32_table dq 0,0,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32.dll",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32.dll" dd 0,0,0 end_import:

   Приложение сократилось до размера 560 байт
   

   заголовок	код и данные	импорт	общий размер
   304	96	160	560 байт

4. удаляем 12 нулевых байтов в конце файла и окончания ".dll"
   
   Кликните здесь для просмотра всего текста

   Assembler

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 include 'win64a.inc' use64 org 0 ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE;'MZ' times 58 db 0 NewExe_offset       dd ntHeader ;-------PE-заголовок------------------------------ ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- Machine         dw PROCESSOR_AMD_X8664 Count_of_section    dw 2 TimeStump       dd 0 Symbol_table_offset dd 0 Symbol_table_count  dd 0 Size_of_optional_header dw section_table-optional_header; Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or \ IMAGE_FILE_EXECUTABLE_IMAGE ;20h Handle >2Gb addresses ;------------------------------------- optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC Linker_version_major_and_minor dw 9 Size_of_code        dd 0x60;end_import-start Size_of_init_data   dd 0xC0 Size_of_uninit_data dd 0 entry_point     dd start base_of_code        dd begin image_base      dq 0x140000000 section_alignment   dd 0x10 file_alignment      dd 0x10 OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd (section_table-export_RVA)/8 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import ;------------------------------------------------ section_table       dd 'xet.','t';'.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dd 'adr.','at';'.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;------------------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;---------секция импорта--------------------------------------- times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd 0,0,0,user32_dll,user32_table dd 0,0,0,kernel32_dll,kernel32_table dq 0,0,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32" end_import:

   Приложение сократилось до размера 540 байт
   

   заголовок	код и данные	импорт	общий размер
   304	96	140	540 байт

сокращаем DOS-stub на 16 байтов, смещение e_lfanew оказывается внутри PE-заголовка. Так как у программы со стабом короче 64 байт смещение от начала файла 3Ch (поле e_lfanew) попадает уже внутрь PE-заголовка, то нужно, чтобы он не попал на поле PE-заголовка имеющее критическое значение при загрузке файла. Помещаем указатель на ntHeader в поле Symbol_table_offset. При размещении в нем числа 30h получаем работоспособное приложение.

Кликните здесь для просмотра всего текста

Assembler

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 include 'win64a.inc' use64 org 0 ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE;'MZ' times 46 db 0 ;-------PE-заголовок------------------------------ ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- Machine         dw PROCESSOR_AMD_X8664 Count_of_section    dw 2 TimeStump       dd 0 Symbol_table_offset dd ntHeader Symbol_table_count  dd 0 Size_of_optional_header dw section_table-optional_header; Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or IMAGE_FILE_EXECUTABLE_IMAGE ;20h Handle >2Gb addresses ;------------------------------------- optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC Linker_version_major_and_minor dw 9 Size_of_code        dd 0x60;end_import-start Size_of_init_data   dd 0xC0 Size_of_uninit_data dd 0 entry_point     dd start base_of_code        dd begin image_base      dq 0x140000000 section_alignment   dd 0x10 file_alignment      dd 0x10 OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd (section_table-export_RVA_size)/8 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import ;------------------------------------------------ section_table       dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dq '.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;------------------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;------------секция импорта------------------------------------ times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd 0,0,0,user32_dll,user32_table dd 0,0,0,kernel32_dll,kernel32_table dq 0,0,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32" end_import:

Приложение сократилось до размера 524 байт

сокращаем DOS-stub еще на 16 байтов, смещение e_lfanew оказывается в поле Size_of_code. По одним источникам ― это поле используется для первичного отведения памяти под приложение. По другим ― не используются вообще. Если поместить туда число 20h, то практическая проверка показывает, что приложение с таким stub'ом работает нормально.

Кликните здесь для просмотра всего текста

Assembler

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 include 'win64a.inc' use64 org 0 ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE;'MZ' times 30 db 0 ;-------PE-заголовок------------------------------ ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- Machine         dw PROCESSOR_AMD_X8664 Count_of_section    dw 2 TimeStump       dd 0 Symbol_table_offset dd 0 Symbol_table_count  dd 0 Size_of_optional_header dw section_table-optional_header; Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or \ IMAGE_FILE_EXECUTABLE_IMAGE ;20h Handle ]2Gb addresses ;------------------------------------- optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC Linker_version_major_and_minor dw 9 Size_of_code        dd ntHeader;0x60;end_import-start Size_of_init_data   dd 0xC0 Size_of_uninit_data dd 0 entry_point     dd start base_of_code        dd begin image_base      dq 0x140000000 section_alignment   dd 0x10 file_alignment      dd 0x10 OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd (section_table-export_RVA)/8 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import ;------------------------------------------------ section_table       dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dq '.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count1 dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;------------------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;---------секция импорта--------------------------------------- times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd 0,0,0,user32_dll,user32_table dd 0,0,0,kernel32_dll,kernel32_table dq 0,0,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32" end_import:

Приложение сократилось до размера 508 байт

сокращаем DOS-stub до 16 байт, смещение e_lfanew оказывается в поле base_of_code. При размещении в нем числа 10h получаем работоспособное приложение.

Кликните здесь для просмотра всего текста

Assembler

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 include 'win64a.inc' use64 org 0 ;--------DOS-stub------------------------------- Signature       dw IMAGE_DOS_SIGNATURE;'MZ' times 14 db 0 ;-------PE-заголовок------------------------------ ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- Machine         dw PROCESSOR_AMD_X8664 Count_of_section    dw 2 times 3 dd 0 Size_of_optional_header dw section_table-optional_header; Characteristics     dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or IMAGE_FILE_EXECUTABLE_IMAGE ;20h Handle >2Gb addresses ;------------------------------------- optional_header: Magic_optional_header   dw IMAGE_NT_OPTIONAL_HDR64_MAGIC Linker_version_major_and_minor dw 9 Size_of_code        dd 0x60;end_import-start Size_of_init_data   dd 0xC0 Size_of_uninit_data dd 0 entry_point     dd start base_of_code        dd ntHeader image_base      dq 0x140000000 section_alignment   dd 0x10 file_alignment      dd 0x10 OS_version_major_minor  dw 5,2 image_version_major_minor dd 0 subsystem_version_major_minor dw 5,2 Win32_version       dd 0 size_of_image       dd end_import size_of_header      dd begin checksum        dd 0 subsystem       dw IMAGE_SUBSYSTEM_WINDOWS_GUI DLL_flag        dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE Stack_allocation    dq 0x100000 Stack_commit        dq 0x1000 Heap_allocation     dq 0x100000 Heap_commit     dq 0x1000 loader_flag     dd 0 number_of_dirs      dd (section_table-export_RVA)/8 export_RVA_size     dq 0 import_RVA_size     dd _import,0x3C;end_import-import ;------------------------------------------------ section_table       dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd 0x60;end_import-start .Physical_offset    dd begin .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes     dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ section_table1      dq '.rdata' .virtual_size       dd 0xB6 .virtual_address    dd Import_Table .Physical_size      dd 0xC0;end_import-start .Physical_offset    dd Import_Table .Relocations_and_Linenumbers dq 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_READ or IMAGE_SCN_CNT_INITIALIZED_DATA;0x40000040 ;------------------------------------------------- dq 0 begin: MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!", 0 start:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]  ; 3. argument: r8  = caption     lea rdx,[MsgBoxText]  ; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;---------секция импорта--------------------------------------- times 11 db 0 Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox,0 _import: dd 0,0,0,user32_dll,user32_table dd 0,0,0,kernel32_dll,kernel32_table dq 0,0,0 _MessageBox     db 0xE2,1,"MessageBoxA",0 user32_dll db "user32",0,0 _ExitProcess        db 0xBC,0,"ExitProcess",0 kernel32_dll    db "kernel32" end_import:

Приложение сократилось до размера 492 байт

В начале секции импорта убрали 8 байт выравнивания.
Мы удалили таблицу, которую используют для импорта по ординалам. Внимание, вопрос ― А зачем нам в таком случае ординалы перед названием функций? Обнуляем ординалы и задаем себе следующий вопрос ― Если ординал нулевой ― нужен ли нулевой байт на конце строки? Удаляем нуль-терминаторы, а заодно и нулевые байты, которые делали адреса названий функции кратными двум, так как импортируемые функции теперь у нас заканчиваются двумя нулевыми байтами (а это расточительно!) ― помещаем в поле ординала последний символ названия функции или названия dll и нуль-терминатор

Кликните здесь для просмотра всего текста

Assembler

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 include 'win64a.inc' org 0 use64   Signature:      dq IMAGE_DOS_SIGNATURE,0 ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- .Machine        dw PROCESSOR_AMD_X8664 .Count_of_section   dw 1 .TimeStump      dd 0 .Symbol_table_offset    dd 0;ntHeader .Symbol_table_count dd 0 .Size_of_optional_header dw section_table-optional_header .Characteristics    dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or IMAGE_FILE_EXECUTABLE_IMAGE ;20h = Handle >2Gb addresses ;------------------------------------- optional_header: .Magic_optional_header  dw IMAGE_NT_OPTIONAL_HDR64_MAGIC .Linker_version_major_and_minor dw 9 .Size_of_code       dd 0 .Size_of_init_data  dd 0xC0 .Size_of_uninit_data    dd 0 .entry_point        dd begin .base_of_code       dd ntHeader .image_base     dq 0x140000000 .section_alignment  dd 0x10 .file_alignment     dd 0x10 .OS_version_major_minor dw 5,2 .image_version_major_minor dd 0 .subsystem_version_major_minor dw 5,2 .Win32_version      dd 0 .size_of_image      dd end_import .size_of_header     dd begin .checksum       dd 0 .subsystem      dw IMAGE_SUBSYSTEM_WINDOWS_GUI .DLL_flag       dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE .Stack_allocation   dq 0x100000 .Stack_commit       dq 0x1000 .Heap_allocation    dq 0x100000 .Heap_commit        dq 0x1000 .loader_flag        dd 0 .number_of_dirs     dd (section_table-export_RVA_size)/8;16 export_RVA_size     dq 0 .import_RVA     dd import_ .import_size        dd end_import-import_ ;------------------------------------------------ section_table:      dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd end_import-begin .Physical_offset    dd begin .Relocations        dd 0 .Linenumbers        dd 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ begin:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]; 3. argument: r8  = caption     lea rdx,[MsgBoxText]; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;------------------------------------------------ MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!",0 ;------------------------------------------------ Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox import_: dd 0,0,0,user32_dll,  user32_table dd 0,0,0,kernel32_dll,kernel32_table user32_dll  db "user32",0,0 kernel32_dll    db "kernel32" dw 0 _MessageBox db 0,0,"MessageBox" _ExitProcess    db "A",0,"ExitProcess" end_import:

Приложение сократилось до размера 454 байт

количество секций делаем равным 1, удаляем секцию '.rdata' и размещаем импорт в секции кода, помещаю данные за вызовом функции ExitProcess, удаляю 3 нулевых байта перед секцией import.

Кликните здесь для просмотра всего текста

Assembler

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 include 'win64a.inc' org 0 use64 Signature:      dq IMAGE_DOS_SIGNATURE,0 ntHeader        dd IMAGE_NT_SIGNATURE;'PE' ;image_header-------------------------- .Machine        dw PROCESSOR_AMD_X8664 .Count_of_section   dw 1 .TimeStump      dd 0 .Symbol_table_offset    dd 0;ntHeader .Symbol_table_count dd 0 .Size_of_optional_header dw section_table-optional_header .Characteristics    dw 0x20 or IMAGE_FILE_RELOCS_STRIPPED or IMAGE_FILE_EXECUTABLE_IMAGE ;20h = Handle >2Gb addresses ;------------------------------------- optional_header: .Magic_optional_header  dw IMAGE_NT_OPTIONAL_HDR64_MAGIC .Linker_version_major_and_minor dw 9 .Size_of_code       dd 0 .Size_of_init_data  dd 0xC0 .Size_of_uninit_data    dd 0 .entry_point        dd begin .base_of_code       dd ntHeader .image_base     dq 0x140000000 .section_alignment  dd 0x10 .file_alignment     dd 0x10 .OS_version_major_minor dw 5,2 .image_version_major_minor dd 0 .subsystem_version_major_minor dw 5,2 .Win32_version      dd 0 .size_of_image      dd end_import .size_of_header     dd begin .checksum       dd 0 .subsystem      dw IMAGE_SUBSYSTEM_WINDOWS_GUI .DLL_flag       dw IMAGE_DLLCHARACTERISTICS_TERMINAL_SERVER_AWARE .Stack_allocation   dq 0x100000 .Stack_commit       dq 0x1000 .Heap_allocation    dq 0x100000 .Heap_commit        dq 0x1000 .loader_flag        dd 0 .number_of_dirs     dd (section_table-export_RVA_size)/8;16 export_RVA_size     dq 0 .import_RVA     dd import_ .import_size        dd end_import-import_ ;------------------------------------------------ section_table:      dq '.text' .virtual_size       dd 0x55 .virtual_address    dd begin .Physical_size      dd end_import-begin .Physical_offset    dd begin .Relocations        dd 0 .Linenumbers        dd 0 .Relocations_and_Linenumbers_count dd 0 .Attributes      dd IMAGE_SCN_MEM_WRITE or IMAGE_SCN_CNT_CODE;0x80000020 ;------------------------------------------------ begin:     sub rsp, 28h    ; space for 4 arguments + 16byte aligned stack     xor r9d, r9d    ; 4. argument: r9d = uType = 0     lea r8, [MsgCaption]; 3. argument: r8  = caption     lea rdx,[MsgBoxText]; 2. argument: edx = window text     xor ecx, ecx    ; 1. argument: rcx = hWnd = NULL     call [MessageBox]     xor ecx, ecx    ; ecx = exit code     call [ExitProcess] ;------------------------------------------------ MsgCaption db "Iczelion's tutorial #2", 0 MsgBoxText db "Win64 Assembly is Great!",0 ;------------------------------------------------ Import_Table: kernel32_table: ExitProcess dq _ExitProcess,0 user32_table: MessageBox  dq _MessageBox   import_: dd 0,0,0,user32_dll,  user32_table dd 0,0,0,kernel32_dll,kernel32_table user32_dll  db "user32",0,0 kernel32_dll    db "kernel32" dw 0 _MessageBox db 0,0,"MessageBox" _ExitProcess    db "A",0,"ExitProcess" end_import:

Приложение сократилось до размера 400 байт