RE-FX991CNX VerF ROP集结贴

2楼 水帖区

3楼 目录区

quickcpy++
将
30 30 30 30 30 80 30 30 2E D9 80 D1 9A 96 32 30
C4 73 31 30 CA D8 30 30 2E 90 30 30 60 00 90 8F
30 30 30 30 C0 30 34 61 31 30 XX XX 47 D9 D0 87
31 30 60 00 30 30 34 61 31 30 7E D6 50 30 D2 03
32 30 34 61 31 30 30 D6 A0 D8 52 EC 30 D6 00 00
写入到D8A0处（XX XX处是要写入的地址），然后在正常模式下输入
@124P(10@>t@0>a+bi@204P(100³or!e^(@200³d/dx(@00Mean(
即FD 24 31 32 34 61 31 30 11 D1 02 30 D2 03 32 30 34 61 31 30 30 D6 A0 D8 72 0D 32 30 30 D6 52 EC 30 30 5A 00
等于
用法：一次注入96个字节，菜单，3，继续注入，地址自增

08F90
08F90是一个北冥表外的地址
代码如下
L ER10, [ER8]
ADD ER2, ER10
ST ER2, [ER8]
POP XR8
POP PC
先把er10读取为er8处的内容
然后将er10，即er8处的内容与er2相加，赋值到er2
此时er2即为er8处的内容与原先er2之和
在把er2，即er8处的内容与原先er2之和，写入er8处
此时，er8处的内容即为原先er8处的内容与原先er2之和
最后pop xr8

0875C
0875C是一个好用的memcpy地址
它将ER2处[SP]个字节复制到ER0
并POP ER0，即将复制字节数赋给ER0
之所以说是一个好用的地址，是因为memcpy地址都要调用22DC0
而22DC0不像0D0F4 strcpy，最后POP PC，而是RT，是一个返回型的地址
这导致如果直接调用22DC0，我们将无法控制PC，进而控制程序走向
所以我们只能靠调用22DC0的函数来执行22DC0
同时还有一个问题
就是[SP]一般不仅是复制长度，PC一般也会从此处取
我们很难恰好使我们下一个想调用的地址与复制长度相同
而0875C也巧妙的解决了这一点
POP ER0 使PC取出的位置刚好与复制长度位置错开
所以我们通常使用0875C或0EC52(memcpy兼跳转，可能下期讲)来执行memcpy

8楼 变量区自注入quickcpy For @熠辉_子羿
用字符转换器打出
M:
A=1.26010000003461 x10 01º:
B=2.D61ED36C4B01 x10 98:
C=1.0030D6381D02:
D=1.009A9602000281 x10 01:
E=1.80100097D880D1:
F=1.00BC73010030D6:
x=A.BB000030D63461 x10 01º:
y=1.00A0D8CE8701 x10 98:
1lbf/in²>kPa:
1.0000007A6502
CALC =*11 AC 上 上 刷出
an0000000000@[0x26]>r∠θcosh-¹@[0x0D]20
=

08DD6
08DD6这个地址源自PWM PixelEditor 源代码如下
CMP ER0, ER2
BC EQ, 08DE2h
CMP R0, #78
BC LT, 08DE6h
CMP R0, #95
BC GT, 08DE6h
MOV R0, #1（此处为08DE2）
RT
MOV R0, #0（此处为08DE6）
RT
此地址当ER0不等于ER2且R0小于78（0x4E）或大于95（0x5F）时将R0赋为零0
否则将R0赋为1
当我们把键码赋给ER0时，由于R0此时为KI，不可能在78和95之间，故可以把此地址作为一个检验键码的地址，来进行按键分支
注意此地址为RT返回