操作系统问题，关于函数地址空间

[ng29]

如题， 假如进程里有函数 fun1, 再进程启动时，malloc 一页内存，拷贝 fun1 的内容到 malloc 出来的内存，称拷贝后的函数为 fun2, 调用 fun1 和 fun2 使用 不同的参数， 问 fun2 是不是可以正常执行？

考虑 fun2 是 fun1 改变了位置，如果有 jmp 指令是位置相关的，此时可不可以调整指令和字节数使得 fun2 可以正常运行直到 ret 返回。

[liuminghao233]

好像可以用 mprotect 改 x 权限
但 malloc 默认是不会给你 x 权限的
你把函数 copy 进去 带 x 权限的内存
把 rsp rbp 弄好
按照 x86 调用约定入参 rsi rdi...这些
然后直接 jmp 或者 call 就行了

[lniwn]

先说结论，是可行的，不过你不能用 malloc，而要用系统的内存分配 api，比如 win32 下的 HeapCreate，指定 PAGE_EXECUTE 权限。
既然可以静态编译，那说明你已经有对应的库文件了，ida 抠出来，重新实现一遍是最简单的方式，然后 hook 原函数到新实现的函数。

[limboMu]

还可以把代码段的数据拷贝到堆区执行吗？学到了，不过执行的时候参数都是会在栈区保留，唯一的区别就是如果函数内有超出函数边界的相对跳转，就有响应的，其他的情况应该没啥问题。

[ng29]

@liuminghao233 是这样的 不过我有一个顾虑 就是函数里面有跳转指令的时候 可能有相对位置的 不知道这样的怎么跳转 想找一个通用的方案（适用于绝大多数函数）

[ng29]

@lniwn 对一个函数比较好操作，如果做成通用的，有没有推荐的参考资料或代码

[ng29]

原来的问题 也可以改成， 拿一块 代码段 到 自己申请的内存并 变为 位置无关代码

[liuminghao233]

@ng29
你需要禁止编译器生成位置无关代码 再加上-mcmodel=large
比如说 g++ main.cpp -o main -fno-pie -mcmodel=large
这样你引用变量的地址是绝对地址 而不是 rip relative 的

[yangbonis]

你是在说 dlopen 吗？

[yangbonis]

或者反射？

[ng29]

@liuminghao233 感谢 minghao 我做实验试下

[mingl0280]

可行,远程线程代码注入中的一步就是这么实现的.
VirtualAllocEx 分配内存同时指定 PAGE_EXECUTE_READWRITE 权限以后用 WriteProcessMemory 将编译后的函数的首地址和函数长度的内存复制到远程线程中,然后给一发 CreateRemoteThread 就可以直接在远程进程里跑你的函数了.
具体资料你完全可以参考 WINAPI 的远程代码注入.

[mingl0280]

@ng29 函数内跳转指令不存在问题,只要你的函数内跳转指令符合以下要求:
- 不指向在本程序内定义的其它函数,即跳转指令执行的都是处于共享内存区的.
- 不存在可能触发 longjmp 或者其它导致函数退出的指令
另外禁止位置无关代码不会有效的,代码空间不一样了,没法跳转到你自己的内存区继续执行的.

[pythonee]

期待实验结果

[ng29]

测试是可以的 一个函数挪动位置，修改 rip relative 的指令，将 偏移修正后 就可以正常调用了，可以作为 hook 的一种方式 总结了一下中间学的东西 http://www.oneyearago.me/2020/09/27/hook_and_internal/