浅谈64位进程远程hook技术及64模块导出表的一些变化，附源码

shuogege · 发表于 2021-2-17 17:04:52

太强了！

宿烟 · 发表于 2021-2-17 10:29:15

只会喊大佬，也只会喊666了。支持支持支持

zhouli5464 · 发表于 2021-2-17 09:08:26

只能说大佬，也只会喊666了。支持下

jing2020yi · 发表于 2021-2-16 19:30:48

诅咒有点狠呐

﹎z° · 发表于 2021-2-16 18:30:24

只能说大佬，也只会喊666了。支持下

树上的鱼儿 · 发表于 2021-2-15 21:36:05

灰灰君发表于 2021-2-15 21:20
准确的说是八九年前

算的怪准

灰灰君 · 发表于 2021-2-15 21:20:30

准确的说是八九年前

树上的鱼儿 · 发表于 2021-2-15 10:44:56

呵呵呵666 发表于 2021-2-15 05:10
请问大佬是不是就是hook地址上的那条指令不足6字节长度就要加上下一条指令的长度（如果不够就还要加上下 ...

对，一条或多条完整的指令必须大于等于6字节，多长参数就设置多长

呵呵呵666 · 发表于 2021-2-15 05:10:28

树上的鱼儿发表于 2021-2-15 00:00
差不多就是这个意思，HOOK需要把HOOK位置的指令改成JMP跳转到目标进程申请空间内，而这条指令JMP[RIP]占用 ...

请问大佬是不是就是hook地址上的那条指令不足6字节长度就要加上下一条指令的长度（如果不够就还要加上下下面一条的直到加够）如果足够6字节就直接填那条指令的长度

树上的鱼儿 · 发表于 2021-2-15 00:00:17

本帖最后由树上的鱼儿于 2021-2-15 00:04 编辑

呵呵呵666 发表于 2021-2-14 23:37
长度是指的要替换成jmp的那条指令的长度吗

差不多就是这个意思，HOOK需要把HOOK位置的指令改成JMP跳转到目标进程申请空间内，而这条指令JMP[RIP]占用6字节，所以HOOK长度不能小于6字节，最好进调试器查看HOOK位置处完整代码是否够6字节，不够就往下加一条指令，在不够在加一条，依次类推，如果3条指令正好6字节那么HOOK长度就是6，假如hook位置指令占用7字节，那么长度就是7，程序会改写此处代码为JMP跳转6字节，多余的1字节源码内会自动处理，自动填充空指令也就是NOP，这样才不会打乱原代码指令，如果提供的HOOK长度乱填，会导致目标程序经过时崩溃，具体可以查看帖子内那张HOOK位置的贴图

		自动登录	找回密码
密码			注册

[易语言纯源码] 浅谈64位进程远程hook技术及64模块导出表的一些变化，附源码