取子程序真实地址ASM版

心冷、鱼儿

自己写HOOK的时候，发现hook类一直有问题，遂跟了下，发现是易语言的包装函数会导致ecx的值清0


导致调用类方法的时候错误，就百度了下取子程序真实地址，发现很多有错误，还有有文本参数的取不出来


便根据 aiksie 开源的方法写了汇编的，效率没测试,里面有对比完全正确。





取子程序真实地址.e (10.29 KB, 下载次数: 151)

2018-7-11 12:14 上传

点击文件名下载附件

Easy易人

谢谢大佬分享

qq420345437

谢谢大佬分享

猫神父

兼容类内方法、DLL函数，特此引入局部变量，返回值时用局部变量，让编译器自己平衡堆栈

  

子程序名	返回值类型	公开	备 注
_pGetSubAddress	整数型		取子程序真实地址
参数名	类 型	参考	可空	数组	备 注
ptr	子程序指针

变量名	类 型	静态	数组	备 注
RealPtr	整数型

RealPtr ＝ -1
' _asm{
' push ebx                         ;保存寄存器以免错误
' push ecx
' mov eax,dword [ebp+08h]          ;获取到子程序地址
' do:                              ;循环标记
' inc eax                          ;指针+1
' cmp byte [eax],232               ;判断是不是call
' jne do                           ;不是就继续判断是不是call
' inc eax
' mov ecx,dword [eax]              ;如果是call，获取到call的偏移地址
' add eax,04h
' lea ebx,dword [eax+ecx]          ;call的地址
' cmp byte [ebx],85                ;判断是不是子程序开头
' jne do
' cmp byte [ebx+01h],139
' jne do
' cmp byte [ebx+02h],236
' jne do
' mov [ebp-4],ebx                      ;把指针局部变量返回
' jmp exit                         ;跳出循环
' jmp do                           ;继续循环
' exit:
' pop ecx
' pop ebx
' }end
' 将leave和ret保留给编译器处理，以应对更多环境
返回 (RealPtr)

.版本 2<br /> <br /> .子程序 _pGetSubAddress, 整数型, , 取子程序真实地址<br /> .参数 ptr, 子程序指针<br /> .局部变量 RealPtr, 整数型<br /> <br /> RealPtr ＝ -1<br /> <br /> ' _asm{<br /> ' push ebx                         ;保存寄存器以免错误<br /> ' push ecx<br /> ' mov eax,dword [ebp+08h]          ;获取到子程序地址<br /> <br /> ' do:                              ;循环标记<br /> ' inc eax                          ;指针+1<br /> ' cmp byte [eax],232               ;判断是不是call<br /> ' jne do                           ;不是就继续判断是不是call<br /> ' inc eax<br /> ' mov ecx,dword [eax]              ;如果是call，获取到call的偏移地址<br /> ' add eax,04h<br /> ' lea ebx,dword [eax+ecx]          ;call的地址<br /> ' cmp byte [ebx],85                ;判断是不是子程序开头<br /> ' jne do<br /> ' cmp byte [ebx+01h],139<br /> ' jne do<br /> ' cmp byte [ebx+02h],236<br /> ' jne do<br /> ' mov [ebp-4],ebx                      ;把指针局部变量返回<br /> ' jmp exit                         ;跳出循环<br /> ' jmp do                           ;继续循环<br /> <br /> ' exit:<br /> ' pop ecx<br /> ' pop ebx<br /> ' }end<br /> <br /> ' 将leave和ret保留给编译器处理，以应对更多环境<br /> 返回 (RealPtr)

aadada

看起来不错

胖虎O

看一下谢谢了

益脑三通

汇编部分咋没 植入代码的

89496414

666666666666666

腾龙跃然

#在这里快速回复效果自看

LBrowser

伸手拿了，顺便亲了你一下