无名侠写的HOOK例程。有一步看不明白。求指点下~

熊猫巴布 · 发表于 2015-1-4 19:09:27

本帖最后由 E族x天天软件于 2015-1-4 19:17 编辑

http://bbs.125.la/thread-13766104-1-1.html
这个是无名侠写的HOOK  例程，写的非常不错。但是有一步有点不理解啊。附件我也一并上传了。
如图：
1：就是调回原函数时为什么要在原来的地址  +5啊。加了5就回不到原函数了吧。
2：jmpCode ＝ { 233 }  ' jmp xxx 相对地址          这个jmpcode是怎么来的啊？
谁能解释下啊。。@无名侠

无名侠 · 发表于 2015-1-4 19:09:28

用OD看看就知道了。
我们HOOK了函数头，Windows DLL的导出函数开头基本上mov edi,edi 刚好5字节，可以存下一个JMP指令。
所以我们跳回原函数的时候要+5，要不然又相当于调用自己了，然后又跳到中继函数，然后无限循环。

一直被误解 · 发表于 2015-1-4 19:33:20

我也不懂啊

无名侠 · 发表于 2015-1-4 19:52:48

jmpCode
是 jmp 相对地址的机器码。
{233} 16进制是0xe9
后面跟4字节操作数，就是相当跳转地址.
jmp 绝对地址好像是大于5字节的
而函数头也只有5字节(mov edi,edi) 专门给我们安装这些用的。
具体指令机器码去方法Intel官方的手册把

熊猫巴布 · 发表于 2015-1-4 20:17:45

无名侠发表于 2015-1-4 19:52
jmpCode
是 jmp 相对地址的机器码。
{233} 16进制是0xe9

多谢，你分享的代码非常不错

		自动登录	找回密码
密码			注册

[已解决] 无名侠写的HOOK例程。有一步看不明白。求指点下~

最佳答案

评分