为什么 HOOK 变量会错乱

494308843

比如 hook了CreateFileW
然后回调函数里  参数是整数
str=指针到文本W2A
此时貌似是正常的
随后没有任何对str的修改

后续 进行一些操作  就莫名其妙变了
都是正常的操作 只是  进行一些文件名的判断
等等等  总是莫名其妙str变了
自身里hook好像是正常的
注入到其他程序 就会错乱


似乎 用一个新变量  再保存一次  可能能用
但是已经测试n遍了，依旧会有乱的。都不清楚规律。。。。整个人都崩溃了























补充内容 (2025-4-21 21:50):
好像将 局部变量 作为参数 调用其他方法后 就会发生改变
什么原因啊。。。。。。。
方法就是普通的方法 没有传址什么的
只要作为参数后就boom了

补充内容 (2025-4-21 21:51):
但是拼接字符串的方式作为参数传入就不会boom。
好像只有直接传入才会错乱。错乱好像是变成其他变量的内容。

494308843

  

str ＝ 指针到文本W2A (文件名)
info.文件名 ＝ str
log (“函数前段info.文件名” ＋ info.文件名)
原始路径 ＝ info.文件名
log (“函数前段原始路径” ＋ 原始路径)
name ＝ 文件_取文件名 (info.文件名, 真)
是否匹配 ＝ PS后缀是否匹配 (原始路径)
log (“函数前段原始路径2 ” ＋ 原始路径)
判断 (是否匹配 ＝ 假)
返回值 ＝ API_CreateFileW (文件名, 访问权限, 共享模式, 安全属性, 创建方式, 文件属性, 模板文件)
返回 (返回值)




opencount ＝ 重定向_取打开数量 (原始路径)
log (“函数前段原始路径3 ” ＋ 原始路径)
重定向路径 ＝ 重定向_取重定向路径 (原始路径)
log (“函数前段原始路径4 ” ＋ 原始路径)
log (“打开文件W:” ＋ #换行符 ＋ 原始路径)

.版本 2<br /> <br /> str ＝ 指针到文本W2A (文件名)<br /> info.文件名 ＝ str<br /> log (“函数前段info.文件名” ＋ info.文件名)<br /> <br /> 原始路径 ＝ info.文件名<br /> log (“函数前段原始路径” ＋ 原始路径)<br /> name ＝ 文件_取文件名 (info.文件名, 真)<br /> <br /> 是否匹配 ＝ PS后缀是否匹配 (原始路径)<br /> log (“函数前段原始路径2 ” ＋ 原始路径)<br /> .判断开始 (是否匹配 ＝ 假)<br />     返回值 ＝ API_CreateFileW (文件名, 访问权限, 共享模式, 安全属性, 创建方式, 文件属性, 模板文件)<br />     返回 (返回值)<br /> <br /> .默认<br /> <br /> .判断结束<br /> <br /> opencount ＝ 重定向_取打开数量 (原始路径)<br /> log (“函数前段原始路径3 ” ＋ 原始路径)<br /> 重定向路径 ＝ 重定向_取重定向路径 (原始路径)<br /> log (“函数前段原始路径4 ” ＋ 原始路径)<br /> <br /> log (“打开文件W:” ＋ #换行符 ＋ 原始路径)

输出日志

C:\Users\user\Downloads\Compressed\pscs6_213578\Adobe_Photoshop_CS6_Lite\ps\log.txt函数前段info.文件名C:\Users\user\Downloads\Compressed\pscs6_213578\Adobe_Photoshop_CS6_Lite\test.bmp
函数前段原始路径C:\Users\user\Downloads\Compressed\pscs6_213578\Adobe_Photoshop_CS6_Lite\test.bmp
函数前段原始路径2 C:\Users\user\Downloads\Compressed\pscs6_213578\Adobe_Photoshop_CS6_Lite\test.bmp
函数前段原始路径3 C:\Users\user\Downloads\Compressed\pscs6_213578\Adobe_Photoshop_CS6_Lite\test.bmp
函数前段原始路径4 C:\Users\user\AppData\Local\Temp\89cf0b83488414ead835469b849de6cc
打开文件W:
C:\Users\user\AppData\Local\Temp\89cf0b83488414ead835469b849de6cc

笨来无一悟

自己写的call 保护一下相关寄存器你把人家也有用到的寄存器的数据破坏了

494308843

知道怎么回事了
就算不勾选 参考
易语言的字符串 在作为参数的时候  貌似是 参考一样  传递的