备案控制台
探索云世界
开发者社区 人工智能 文章 正文

LyScript 内存交换与差异对比

2022-11-20 182
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
公网NAT网关，每月750个小时 15CU
简介： LyScript 针对内存读写函数的封装功能并不多，只提供了内存读取和内存写入函数的封装，本篇文章将继续对API进行封装，实现一些在软件逆向分析中非常实用的功能，例如内存交换，内存区域对比，磁盘与内存镜像比较，特征码检索等功能。

LyScript 针对内存读写函数的封装功能并不多，只提供了内存读取和内存写入函数的封装，本篇文章将继续对API进行封装，实现一些在软件逆向分析中非常实用的功能，例如内存交换，内存区域对比，磁盘与内存镜像比较，特征码检索等功能。

内存区域交换: 实现被加载程序内特定一块内存区域的交换，该方法实现原理就是两个变量之间的交换，只是在交换时需要逐个字节进行，调用read_memory_byte()函数实现起了很容易。

from LyScript32 import MyDebug

# 交换两个内存区域
def memory_xchage(dbg,memory_ptr_x,memory_ptr_y,bytes):
    ref = False
    for index in range(0,bytes):
        # 读取两个内存区域
        read_byte_x = dbg.read_memory_byte(memory_ptr_x + index)
        read_byte_y = dbg.read_memory_byte(memory_ptr_y + index)

        # 交换内存
        ref = dbg.write_memory_byte(memory_ptr_x + index,read_byte_y)
        ref = dbg.write_memory_byte(memory_ptr_y + index, read_byte_x)
    return ref

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")

    # 内存交换
    flag = memory_xchage(dbg, 6815744,6815776,4)
    print("内存交换状态: {}".format(flag))
    dbg.close()

PE文件头节点交换后如下：

image.png

内存区域对比: 可用于对比该进程内存中的特定一块区域的差异，返回是列表中的字典形式，分别传入对比内存x,y以及需要对比的内存长度，此处建议不要超过1024字节。

from LyScript32 import MyDebug

# 对比两个内存区域
def memory_cmp(dbg,memory_ptr_x,memory_ptr_y,bytes):
    cmp_memory = []
    for index in range(0,bytes):

        item = {"addr":0, "x": 0, "y": 0}

        # 读取两个内存区域
        read_byte_x = dbg.read_memory_byte(memory_ptr_x + index)
        read_byte_y = dbg.read_memory_byte(memory_ptr_y + index)

        if read_byte_x != read_byte_y:
            item["addr"] = memory_ptr_x + index
            item["x"] = read_byte_x
            item["y"] = read_byte_y
            cmp_memory.append(item)
    return cmp_memory

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")

    # 内存对比
    cmp_ref = memory_cmp(dbg, 6815744,6815776,4)
    for index in range(0,len(cmp_ref)):
        print("地址: 0x{:08X} -> X: 0x{:02x} -> y: 0x{:02x}".format(cmp_ref[index].get("addr"),cmp_ref[index].get("x"),cmp_ref[index].get("y")))

    dbg.close()

对比特定内存区域，返回差异字节地址：

image.png

内存与磁盘机器码比较: 通过调用read_memory_byte()函数，或者open()打开文件，等就可以得到程序磁盘与内存中特定位置的机器码参数，然后通过对每一个列表中的字节进行比较，就可得到特定位置下磁盘与内存中的数据是否一致的判断。

#coding: utf-8
import binascii,os,sys
from LyScript32 import MyDebug

# 得到程序的内存镜像中的机器码
def get_memory_hex_ascii(address,offset,len):
    count = 0
    ref_memory_list = []
    for index in range(offset,len):
        # 读出数据
        char = dbg.read_memory_byte(address + index)
        count = count + 1

        if count % 16 == 0:
            if (char) < 16:
                print("0" + hex((char))[2:])
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                print(hex((char))[2:])
                ref_memory_list.append(hex((char))[2:])
        else:
            if (char) < 16:
                print("0" + hex((char))[2:] + " ",end="")
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                print(hex((char))[2:] + " ",end="")
                ref_memory_list.append(hex((char))[2:])
    return ref_memory_list

# 读取程序中的磁盘镜像中的机器码
def get_file_hex_ascii(path,offset,len):
    count = 0
    ref_file_list = []

    with open(path, "rb") as fp:
        # file_size = os.path.getsize(path)
        fp.seek(offset)

        for item in range(offset,offset + len):
            char = fp.read(1)
            count = count + 1
            if count % 16 == 0:
                if ord(char) < 16:
                    print("0" + hex(ord(char))[2:])
                    ref_file_list.append("0" + hex(ord(char))[2:])
                else:
                    print(hex(ord(char))[2:])
                    ref_file_list.append(hex(ord(char))[2:])
            else:
                if ord(char) < 16:
                    print("0" + hex(ord(char))[2:] + " ", end="")
                    ref_file_list.append("0" + hex(ord(char))[2:])
                else:
                    print(hex(ord(char))[2:] + " ", end="")
                    ref_file_list.append(hex(ord(char))[2:])
    return ref_file_list

if __name__ == "__main__":
    dbg = MyDebug()

    connect_flag = dbg.connect()
    print("连接状态: {}".format(connect_flag))

    module_base = dbg.get_base_from_address(dbg.get_local_base())
    print("模块基地址: {}".format(hex(module_base)))

    # 得到内存机器码
    memory_hex_byte = get_memory_hex_ascii(module_base,0,100)

    # 得到磁盘机器码
    file_hex_byte = get_file_hex_ascii("d://Win32Project1.exe",0,100)

    # 输出机器码
    print("\n内存机器码: ",memory_hex_byte)
    print("\n磁盘机器码: ",file_hex_byte)

    dbg.close()

读取后输出时会默认十六个字符一次换行，输出效果如下。

image.png

我们继续增加磁盘与内存对比过程，然后就能实现对特定内存区域与磁盘区域字节码一致性的判断。

#coding: utf-8
import binascii,os,sys
from LyScript32 import MyDebug

# 得到程序的内存镜像中的机器码
def get_memory_hex_ascii(address,offset,len):
    count = 0
    ref_memory_list = []
    for index in range(offset,len):
        # 读出数据
        char = dbg.read_memory_byte(address + index)
        count = count + 1

        if count % 16 == 0:
            if (char) < 16:
                print("0" + hex((char))[2:])
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                print(hex((char))[2:])
                ref_memory_list.append(hex((char))[2:])
        else:
            if (char) < 16:
                print("0" + hex((char))[2:] + " ",end="")
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                print(hex((char))[2:] + " ",end="")
                ref_memory_list.append(hex((char))[2:])
    return ref_memory_list

# 读取程序中的磁盘镜像中的机器码
def get_file_hex_ascii(path,offset,len):
    count = 0
    ref_file_list = []

    with open(path, "rb") as fp:
        # file_size = os.path.getsize(path)
        fp.seek(offset)

        for item in range(offset,offset + len):
            char = fp.read(1)
            count = count + 1
            if count % 16 == 0:
                if ord(char) < 16:
                    print("0" + hex(ord(char))[2:])
                    ref_file_list.append("0" + hex(ord(char))[2:])
                else:
                    print(hex(ord(char))[2:])
                    ref_file_list.append(hex(ord(char))[2:])
            else:
                if ord(char) < 16:
                    print("0" + hex(ord(char))[2:] + " ", end="")
                    ref_file_list.append("0" + hex(ord(char))[2:])
                else:
                    print(hex(ord(char))[2:] + " ", end="")
                    ref_file_list.append(hex(ord(char))[2:])
    return ref_file_list

if __name__ == "__main__":
    dbg = MyDebug()

    connect_flag = dbg.connect()
    print("连接状态: {}".format(connect_flag))

    module_base = dbg.get_base_from_address(dbg.get_local_base())
    print("模块基地址: {}".format(hex(module_base)))

    # 得到内存机器码
    memory_hex_byte = get_memory_hex_ascii(module_base,0,1024)

    # 得到磁盘机器码
    file_hex_byte = get_file_hex_ascii("d://Win32Project1.exe",0,1024)

    # 输出机器码
    for index in range(0,len(memory_hex_byte)):
        # 比较磁盘与内存是否存在差异
        if memory_hex_byte[index] != file_hex_byte[index]:
            # 存在差异则输出
            print("\n相对位置: [{}] --> 磁盘字节: 0x{} --> 内存字节: 0x{}".
                  format(index,memory_hex_byte[index],file_hex_byte[index]))
    dbg.close()

代码运行后即可输出，存在差异的相对位置：

image.png

内存ASCII码解析: 通过封装的get_memory_hex_ascii得到内存机器码，然后再使用如下过程实现输出该内存中的机器码所对应的ASCII码。

from LyScript32 import MyDebug
import os,sys

# 转为ascii
def to_ascii(h):
    list_s = []
    for i in range(0, len(h), 2):
        list_s.append(chr(int(h[i:i+2], 16)))
    return ''.join(list_s)

# 转为16进制
def to_hex(s):
    list_h = []
    for c in s:
        list_h.append(hex(ord(c))[2:])
    return ''.join(list_h)

# 得到程序的内存镜像中的机器码
def get_memory_hex_ascii(address,offset,len):
    count = 0
    ref_memory_list = []
    for index in range(offset,len):
        # 读出数据
        char = dbg.read_memory_byte(address + index)
        count = count + 1

        if count % 16 == 0:
            if (char) < 16:
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                ref_memory_list.append(hex((char))[2:])
        else:
            if (char) < 16:
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                ref_memory_list.append(hex((char))[2:])
    return ref_memory_list


if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")

    # 得到模块基地址
    module_base = dbg.get_base_from_address(dbg.get_local_base())

    # 得到指定区域内存机器码
    ref_memory_list = get_memory_hex_ascii(module_base,0,1024)

    # 解析ascii码
    break_count = 1
    for index in ref_memory_list:
        if break_count %32 == 0:
            print(to_ascii(hex(int(index, 16))[2:]))
        else:
            print(to_ascii(hex(int(index, 16))[2:]),end="")
        break_count = break_count + 1

    dbg.close()

输出效果如下，如果换成中文，那就是一个中文搜索引擎了。

image.png

内存特征码匹配: 通过二次封装get_memory_hex_ascii()实现扫描内存特征码功能，如果存在则返回True否则返回False。

from LyScript32 import MyDebug
import os,sys

# 得到程序的内存镜像中的机器码
def get_memory_hex_ascii(address,offset,len):
    count = 0
    ref_memory_list = []
    for index in range(offset,len):
        # 读出数据
        char = dbg.read_memory_byte(address + index)
        count = count + 1

        if count % 16 == 0:
            if (char) < 16:
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                ref_memory_list.append(hex((char))[2:])
        else:
            if (char) < 16:
                ref_memory_list.append("0" + hex((char))[2:])
            else:
                ref_memory_list.append(hex((char))[2:])
    return ref_memory_list


# 在指定区域内搜索特定的机器码,如果完全匹配则返回
def search_hex_ascii(address,offset,len,hex_array):
    # 得到指定区域内存机器码
    ref_memory_list = get_memory_hex_ascii(address,offset,len)

    array = []

    # 循环输出字节
    for index in range(0,len + len(hex_array)):

        # 如果有则继续装
        if len(hex_array) != len(array):
            array.append(ref_memory_list[offset + index])

        else:
            for y in range(0,len(array)):
                if array[y] != ref_memory_list[offset + index + y]:
                    return False

        array.clear()
    return False

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")

    # 得到模块基地址
    module_base = dbg.get_base_from_address(dbg.get_local_base())
    
    re = search_hex_ascii(module_base,0,100,hex_array=["0x4d","0x5a"])
    
    dbg.close()

特征码扫描一般不需要自己写，自己写的麻烦，而且不支持通配符，可以直接调用我们API中封装好的scan_memory_one()它可以支持??通配符模糊匹配，且效率要高许多。

文章标签：
弹性公网IP
搜索推荐
安全
API
关键词：
内存差异
内存交换
相关实践学习
高可用应用架构
欢迎来到“高可用应用架构”课程，本课程是“弹性计算Clouder系列认证“中的阶段四课程。本课程重点向您阐述了云服务器ECS的高可用部署方案，包含了弹性公网IP和负载均衡的概念及操作，通过本课程的学习您将了解在平时工作中，如何利用负载均衡和多台云服务器组建高可用应用架构，并通过弹性公网IP的方式对外提供稳定的互联网接入，使得您的网站更加稳定的同时可以接受更多人访问，掌握在阿里云上构建企业级大流量网站场景的方法。 学习完本课程后，您将能够： 理解高可用架构的含义并掌握基本实现方法 理解弹性公网IP的概念、功能以及应用场景 理解负载均衡的概念、功能以及应用场景 掌握网站高并发时如何处理的基本思路 完成多台Web服务器的负载均衡，从而实现高可用、高并发流量架构
lyshark
目录
相关文章
千寻简
|
1月前
Center OS 7 增加交换内存(虚拟内存)
虚拟内存、交换内存
千寻简
25 1
泡沫o0
|
29天前
|
存储 缓存 安全
深入理解内存映射：mmap映射的背后原理以及和共享内存的差异
深入理解内存映射：mmap映射的背后原理以及和共享内存的差异
泡沫o0
71 0
泡沫o0
|
1月前
|
存储 程序员 Shell
【C/C++ 内存管理函数】C语言动态内存管理大揭秘：malloc、calloc、realloc与new的对比与差异
【C/C++ 内存管理函数】C语言动态内存管理大揭秘：malloc、calloc、realloc与new的对比与差异
泡沫o0
175 0
冷色系456
|
8月前
|
Linux
7.5 内存交换空间（swap）之创建
7.5 内存交换空间（swap）之创建
冷色系456
132 0
lyshark
|
9月前
|
存储 安全 API
4.9 x64dbg 内存处理与差异对比
LyScript 插件中针对内存读写函数的封装功能并不多，只提供了最基本的`内存读取`和`内存写入`系列函数的封装，本章将继续对API接口进行封装，实现一些在软件逆向分析中非常实用的功能，例如ShellCode代码写出与置入，内存交换，内存区域对比，磁盘与内存镜像比较，内存特征码检索等功能，学会使用这些功能对于后续漏洞分析以及病毒分析都可以起到事半功倍的效果，读者应重点关注这些函数的使用方式。
lyshark
46 2
4.9 x64dbg 内存处理与差异对比
夏志121
|
11月前
|
存储 缓存 Windows
磁盘概述、磁盘缓存、虚拟内存及虚拟内存与内存的交换方式
磁盘概述、磁盘缓存、虚拟内存及虚拟内存与内存的交换方式
夏志121
148 0
Chahot
|
11月前
|
程序员
【操作系统】第五章：虚拟内存（Part1：交换[swapping]和覆盖[overlay]技术）
【操作系统】第五章：虚拟内存（Part1：交换[swapping]和覆盖[overlay]技术）
Chahot
389 0
授客
|
Linux
Linux swappiness参数设置与内存交换
Linux swappiness参数设置与内存交换
授客
349 0
阿里云助手
|
弹性计算 固态存储 网络协议
阿里云服务器通用型g6和计算型c6有什么区别？CPU内存比差异
阿里云服务器通用型g6和计算型c6有什么区别？一个是ECS通用型g6实例，一个是ECS计算型c6实例，CPU内存比不同，CPU均采用2.5 GHz主频的Intel Xeon Platinum 8269CY（Cascade Lake），睿频3.2 GHz
阿里云助手
331 0
阿里云服务器通用型g6和计算型c6有什么区别？CPU内存比差异
德哥,digoal
|
Linux
Linux中进程内存RSS与cgroup内存的RSS统计 - 差异
德哥,digoal
12558 0

热门文章

最新文章

  • 1
    阿里云服务器实例、CPU内存、带宽、操作系统选择参考
  • 2
    深度解析JVM世界：JVM内存分配
  • 3
    【C++ 基本知识】现代C++内存管理：探究std::make_系列函数的力量
  • 4
    【Linux C/C++ 堆内存分布】深入理解Linux进程的堆空间管理
  • 5
    【JVM故障问题排查心得】「Java技术体系方向」Java虚拟机内存优化之虚拟机参数调优原理介绍（一）
  • 6
    深入理解内存映射：mmap映射的背后原理以及和共享内存的差异
  • 7
    【Linux 应用开发 共享内存】深入理解和实践 ftruncate：共享内存的有效管理
  • 8
    深入解析linux内存指标：快速定位系统内存问题的有效技巧与实用方法（free、top、ps、vmstat、cachestat、cachetop、sar、swap、动态内存、cgroops、oom）
  • 9
    OceanBase数据库常见问题之增加内存依旧报内存不足如何解决
  • 10
    JVM内部世界(内存划分,类加载,垃圾回收)（上）
  • 1
    滚雪球学Java(19)：JavaSE中的内存管理：你所不知道的秘密
    24
  • 2
    【重学C++】【内存】关于C++内存分区，你可能忽视的那些细节
    23
  • 3
    Pyglet综合应用｜推箱子游戏之关卡图片载入内存
    12
  • 4
    深入理解操作系统内存管理：原理与实践
    11
  • 5
    字符串与内存函数
    18
  • 6
    linux查看CPU、内存、网络、磁盘IO命令
    49
  • 7
    Oracle 12c的内存列存储：数据的“闪电侠”
    14
  • 8
    构建高效Android应用：采用Kotlin进行内存优化的策略
    11
  • 9
    深入理解操作系统的内存管理机制
    9
  • 10
    FATAL ERROR: CALL_AND_RETRY_LAST Allocation failed - JavaScript heap out of memory 内存溢出问题
    14

    • 相关电子书

    更多
  • 内存取证与IaaS云平台恶意行 为的安全监控
  • 云服务器ECS内存增强型实例re6全新发布
  • 用户态高速块缓存方案
    • 下一篇
    部署LAMP环境（Alibaba Cloud Linux 3）