GoldFinch, какие допущения-то?
и с каких щей это мой способ-то? не понимаю
PE тоже я придумал? какой же кривой я придумал PE, чтобы хранить в нем параметры кучи и стека,
какая мелочь, и зачем они там ))
страничное выравние, минимальный диапазон страниц для распределения - это условие, читай MSDN
и допущения - это простой расчет: если по верхним адресам точно стековый диапазон,
а не хватает 64 байт, стало быть они внизу, а что может быть внизу? да куча, в которой этот стек и расположен,
странно бы было, если бы курица появилось раньше яйца, так же странно было бы, если бы стек появился бы раньше кучи,
которая его рождает, но это так - предположение, которое довольно просто проверить: проходим HeapWalk и ищем в ней стек, нет - значит нет, считаем, что так и росло
Цитата(GoldFinch @ 25.8.2009, 20:14  ) | | Есть большое подозрение что это поведение загрузчика характерно только для ХР и ранних ОС, а в висте и семерке все может быть по другому. |
все может быть, лучше не гадать, а проверить
проверяется элементарно: F11 под отладчиком на любом приложении -> CallStack -> первый исполняемый адрес -> Registers -> ESP
если ESP меньше 0x00120000, значит порядок изменен
| Цитата(GoldFinch @ 25.8.2009, 20:14 ) | | Где гарантия что за время выполнения программы стек не перенесли в другое место? Или что его размер не уменьшили? |
там же, где и гарантия на то, что порше, сброшенный со скалы ф пропасть поедет после этого своим ходом,
несерьезно, конечно, но ты уже 3 поста потратил на это доказательство
| Цитата(GoldFinch @ 25.8.2009, 20:14 ) | | Есть куда как более надежные способы определения размеров стека |
вот с этого места ты начинаешь показывать чудеса техники:
| Цитата |
TEB Structure
[This structure may be altered in future versions of Windows. Applications should use the alternate functions listed in this topic.]
Describes the state of a thread.
...
You should not directly access this structure. To access the values of the TlsSlots and TlsExpansionSlots members, call TlsGetValue. To access the value of the ReservedForOle member, call CoGetContextToken.
|
а теперь назови хоть один критерий, который говорит, что обращение к TEB - это надежнее, чем обращение к PE, (формат PE, кстати в отношении стабильности обгоняет TEB, который может меняться от версии к версии операционки)
с SEH - все аналогично, хотя и менее проблематично, но это вообще нонсенс: лезть в ран-тайм специфику за тем, что лежит в PE, причем получать приближенные значения с гаданием на молоке, а вдруг до SEH что-то есть и утверждать что это "куда как более надежные способы определения размеров стека", парадокс
| Цитата(GoldFinch @ 25.8.2009, 20:14 ) | | Чтобы это все не казалось чем-то нереальным, надо напомнить, что программа может запакована каким-нибудь UPX, это полностью убивает все предположения о расположении стека в памяти. Упаковщик может запускаться со стеком небольшого размера, затем править IMAGE_NT_HEADERS, запускать распакованный код в новом потоке, и убивать первый поток. |
да, это на самом деле самый эффективный способ упасть со скалы, ты прав, особенно когда траекторию движения с нее тебе будет указывать не сила тяготения (Ось), а упрямый арёл (UPX), который побывал на разных планетах и знает, какое ЖЕ должно быть на нашей, и не важно, что полетать на других планетах тебе уже не придется )) |
