求助 关于HOOK后CALL回起始地址崩溃的问题

马俊宇

刚接触HOOK，有不理解的地方，请大家帮助，谢谢。

说明：D*f台服游戏客户Duan，需要HOOK指定地址取出EAX，完成字符串的替换。

流程：
1.备份原字节集，申请内存，将原字节集写入此内存，末尾加上跳回起始地址。
2.修改起始地址，跳转到我的子程序。
3.在执行完我的子程序后，跳转到新申请的内存处。

问题：
第一步和第二步没出现问题，但是我不理解怎么在我的子程序里跳回到原地址。
看别人源码，是CALL回地址，我复制粘贴后崩溃了。
跟踪以后，也不理解崩溃的原因，其实这个CALL我也不太懂，如果能讲解一下那就太好了……
请大家帮忙，很感谢！

我的源码

  

子程序名	返回值类型	公开	备 注
HOOK字符串

HOOK.起始跳转位置 ＝ 19173504
HOOK.中转代码位置 ＝ 真实地址 (&HOOK回调)
HOOK.原字节集 ＝ 指针到字节集 (HOOK.起始跳转位置, 5)  ' 备份原字节集
HOOK.回跳还原位置 ＝ 申请内存 (32, 真)
VirtualProtect (HOOK.回跳还原位置, 32, #PAGE_EXECUTE_READWRITE, 0)
内存_修改内存 (HOOK.回跳还原位置, HOOK.原字节集 ＋ { 233 } ＋ 到字节集 (到整数 (HOOK.起始跳转位置 － HOOK.回跳还原位置 － 5)), 10)
' 申请新内存，用于跳回HOOK起始位置
' 06FEAB40    59              pop ecx
' 06FEAB41    5F              pop edi
' 06FEAB42    5E              pop esi
' 06FEAB43    8BE5            mov esp,ebp
' 06FEAB45  - E9 3BE525FA     jmp 起始HOOK位置
HOOK.新字节集 ＝ { 233 } ＋ 到字节集 (到整数 (HOOK.中转代码位置 － HOOK.起始跳转位置 － 5))
内存_修改内存 (HOOK.起始跳转位置, HOOK.新字节集, 5)
' 01249080  - E9 EE91DB0E     jmp 新子程序位置
信息框 (“起始：” ＋ 进制_十到十六 (HOOK.起始跳转位置) ＋ #换行符 ＋ “中转：” ＋ 进制_十到十六 (HOOK.中转代码位置) ＋ #换行符 ＋ “返回：” ＋ 进制_十到十六 (HOOK.回跳还原位置), 0, , )
' HOOK2.安装HOOK (-1, 19173504, &HOOK回调)

子程序名	返回值类型	公开	备 注
HOOK回调	整数型

变量名	类 型	静态	数组	备 注
返回地址	整数型

' 信息框 (“1”, 0, , )
置入代码 ({ 96 })
返回地址 ＝ Call_ (HOOK.回跳还原位置)
置入代码 ({ 97 })
置入代码 ({ 139, 69, 252, 139, 229, 93, 195 })
' mov eax, dword [ebp-0x04]
' mov esp, ebp
' pop ebp
' ret
返回 (返回地址)

子程序名	返回值类型	公开	备 注
真实地址	整数型
参数名	类 型	参考	可空	数组	备 注
子程序指针	子程序指针

置入代码 ({ 83, 81, 139, 69, 8, 64, 139, 8, 128, 249, 232, 117, 248, 139, 72, 1, 141, 92, 8, 5, 139, 11, 193, 225, 8, 129, 249, 0, 85, 139, 236, 141, 64, 4, 117, 225, 139, 195, 89, 91, 201, 194, 4, 0 })
返回 (0)

子程序名	返回值类型	公开	备 注
Call_	整数型
参数名	类 型	参考	可空	数组	备 注
地址	整数型
参数1	整数型
参数2	整数型
参数3	整数型
参数4	整数型
参数5	整数型
参数6	整数型
参数7	整数型
参数8	整数型
参数9	整数型
参数10	整数型
参数11	整数型
参数12	整数型
参数13	整数型
参数14	整数型
参数15	整数型

置入代码 ({ 86, 190, 15, 0, 0, 0, 141, 77, 8, 141, 76, 241, 252, 139, 65, 4, 133, 192, 116, 2, 255, 49, 78, 131, 233, 8, 133, 246, 117, 239, 255, 85, 8, 94, 201, 194, 124, 0 })
返回 (0)

i支持库列表	支持库注释
spec	特殊功能支持库

.版本 2<br /> .支持库 spec<br /> <br /> .子程序 HOOK字符串<br /> <br /> HOOK.起始跳转位置 ＝ 19173504<br /> <br /> HOOK.中转代码位置 ＝ 真实地址 (&HOOK回调)<br /> <br /> HOOK.原字节集 ＝ 指针到字节集 (HOOK.起始跳转位置, 5)  ' 备份原字节集<br /> <br /> HOOK.回跳还原位置 ＝ 申请内存 (32, 真)<br /> <br /> VirtualProtect (HOOK.回跳还原位置, 32, #PAGE_EXECUTE_READWRITE, 0)<br /> <br /> 内存_修改内存 (HOOK.回跳还原位置, HOOK.原字节集 ＋ { 233 } ＋ 到字节集 (到整数 (HOOK.起始跳转位置 － HOOK.回跳还原位置 － 5)), 10)<br /> ' 申请新内存，用于跳回HOOK起始位置<br /> ' 06FEAB40    59              pop ecx<br /> ' 06FEAB41    5F              pop edi<br /> ' 06FEAB42    5E              pop esi<br /> ' 06FEAB43    8BE5            mov esp,ebp<br /> ' 06FEAB45  - E9 3BE525FA     jmp 起始HOOK位置<br /> <br /> HOOK.新字节集 ＝ { 233 } ＋ 到字节集 (到整数 (HOOK.中转代码位置 － HOOK.起始跳转位置 － 5))<br /> <br /> 内存_修改内存 (HOOK.起始跳转位置, HOOK.新字节集, 5)<br /> ' 01249080  - E9 EE91DB0E     jmp 新子程序位置<br /> <br /> 信息框 (“起始：” ＋ 进制_十到十六 (HOOK.起始跳转位置) ＋ #换行符 ＋ “中转：” ＋ 进制_十到十六 (HOOK.中转代码位置) ＋ #换行符 ＋ “返回：” ＋ 进制_十到十六 (HOOK.回跳还原位置), 0, , )<br /> ' HOOK2.安装HOOK (-1, 19173504, &HOOK回调)<br /> <br /> .子程序 HOOK回调, 整数型<br /> .局部变量 返回地址, 整数型<br /> <br /> ' 信息框 (“1”, 0, , )<br /> 置入代码 ({ 96 })<br /> 返回地址 ＝ Call_ (HOOK.回跳还原位置)<br /> 置入代码 ({ 97 })<br /> 置入代码 ({ 139, 69, 252, 139, 229, 93, 195 })<br /> ' mov eax, dword [ebp-0x04]<br /> ' mov esp, ebp<br /> ' pop ebp<br /> ' ret<br /> 返回 (返回地址)<br /> <br /> .子程序 真实地址, 整数型<br /> .参数 子程序指针, 子程序指针<br /> <br /> 置入代码 ({ 83, 81, 139, 69, 8, 64, 139, 8, 128, 249, 232, 117, 248, 139, 72, 1, 141, 92, 8, 5, 139, 11, 193, 225, 8, 129, 249, 0, 85, 139, 236, 141, 64, 4, 117, 225, 139, 195, 89, 91, 201, 194, 4, 0 })<br /> 返回 (0)<br /> <br /> .子程序 Call_, 整数型<br /> .参数 地址, 整数型<br /> .参数 参数1, 整数型, 可空<br /> .参数 参数2, 整数型, 可空<br /> .参数 参数3, 整数型, 可空<br /> .参数 参数4, 整数型, 可空<br /> .参数 参数5, 整数型, 可空<br /> .参数 参数6, 整数型, 可空<br /> .参数 参数7, 整数型, 可空<br /> .参数 参数8, 整数型, 可空<br /> .参数 参数9, 整数型, 可空<br /> .参数 参数10, 整数型, 可空<br /> .参数 参数11, 整数型, 可空<br /> .参数 参数12, 整数型, 可空<br /> .参数 参数13, 整数型, 可空<br /> .参数 参数14, 整数型, 可空<br /> .参数 参数15, 整数型, 可空<br /> <br /> 置入代码 ({ 86, 190, 15, 0, 0, 0, 141, 77, 8, 141, 76, 241, 252, 139, 65, 4, 133, 192, 116, 2, 255, 49, 78, 131, 233, 8, 133, 246, 117, 239, 255, 85, 8, 94, 201, 194, 124, 0 })<br /> 返回 (0)

开始跳转

521001040

马俊宇 发表于 2024-8-4 12:00
感谢，我就是这个情况，JMP进入HOOK，然后用CALL回原地址。（请问这是我崩溃的基本原因吗？）

如果改成J ...

你没什么逆向底子，对堆栈的概念不理解，就不建议你手搓代码，易语言函数的是自带函数头的
push    ebp
mov     ebp,esp
没平栈直接JMP返回，也是会崩的

建议你用现成模块
超级hook修复版(出自吾爱破J论坛)
spyhook(出自吾爱汇编论坛)

521001040

100024BB,popad后,[ebp-0x4]还有值吗?

521001040

用call的方式返回原地址是大错特错,利用call进hook,ret后能返回程序
但你用call方式返回原程序,原程序ret不就回去你程序了?

521001040

用call进hook就用ret返回
用jmp进hook就要用jmp返回,不然堆栈都坏了

马俊宇

521001040 发表于 2024-8-4 11:40
用call进hook就用ret返回
用jmp进hook就要用jmp返回,不然堆栈都坏了

感谢，我就是这个情况，JMP进入HOOK，然后用CALL回原地址。（请问这是我崩溃的基本原因吗？）

如果改成JMP新地址，执行完成以后再JMP原地址，是不是在我的子程序里面，直接置入代码，JMP回原地址就可以了？还是需要其他的什么操作？

马俊宇

521001040 发表于 2024-8-4 11:40
用call进hook就用ret返回
用jmp进hook就要用jmp返回,不然堆栈都坏了

应该是我代码的问题，刚刚试了下还是不行，你如果有时间的话可以帮我写下，弹出消息框后能够正确跳回原地址的回调函数吗？麻烦了……

马俊宇

521001040 发表于 2024-8-4 16:18
你没什么逆向底子，对堆栈的概念不理解，就不建议你手搓代码，易语言函数的是自带函数头的
push    ebp
...

你说的太对了，我对汇编的理解连皮毛都没有，现在是又想学，又没头绪，发现HOOK挺有意思的，研究了一个多月也没研究明白，难受。谢谢你，为我解答这么多。