x64内存注入，1-2后闪退

Damnie

涉及到的源码为X64Call_fix，下方两处注入源码到这都出问题
https://bbs.125.la/forum.php?mod=viewthread&tid=14673899
https://bbs.125.la/forum.php?mod=viewthread&tid=14439939
到如图所示位置，上方置入代码后卡1-2秒，程序会直接退出，使用的源码为上述提供的Call





这方面纯小白，系统为 21H1 专业工作站版，挺多人说没这问题，但我和部分人有，所以很难受
希望有大佬指点~谢谢

夏目阿布

没有问题啊


补充内容 (2021-12-2 09:10):
如果有问题就是系统问题

同学麻烦让让

他这个CALL写的有问题，X64调用约定前四个参数用RCX,RDX,R8和R9传递，后面的参数是需要通过mov qword[rsp+20],xxx的形式放到栈里的，这个代码里第四个之后的参数是直接PUSH的，这里就有很大问题，而且栈顶RSP的处理有问题，总之问题很多不推荐这个，你用那个wow64ext模块里的CALL来代替，以前看过那个模块里的CALL是没问题的。

补充内容 (2021-12-2 09:42):
看错了，他后面通过sub rsp,0x20的形式来达到mov qword[rsp+20],xxx的形式放到栈里的效果，不过栈顶位置还是没有处理好，换wow64ext模块里的CALL来使用

同学麻烦让让

最后仔细看了一下，他在X64代码里申请的栈空间后面有在X86环境下通过leave平栈，不确定这样会不会出问题，我认为64位环境里申请的栈空间在64位里平栈是最好的，不过如果这个地方系统允许这样操作的话还真没看出什么问题，只不过这个作者不按一般套路出牌啊，常规X64汇编写法不是这样，猛的一看还以为错了，仔细一看还真是那么回事，只不过换了一种写法，只有最后我说的那点如果X64环境申请的栈在X86可以释放的话，这个CALL就没问题。

补充内容 (2021-12-2 10:07):
还是那句话，换wow64ext模块里的CALL来使用看看行不行，如果那个模块的CALL行就是这段代码有问题，如果那个模块里的CALL也不行那就是其他方面的问题了

CigaretteWine

dll 是64么？   如果dll是64位 那肯定不是易语言实现的，如果dll不是64位  注入到64位程序  无效或者崩溃很正常

Damnie

weidongjun 发表于 2021-12-2 11:13
dll 是64么？   如果dll是64位 那肯定不是易语言实现的，如果dll不是64位  注入到64位程序  无效或者崩溃很 ...

是64位。。这个没错

Damnie

htpidk 发表于 2021-12-2 10:06
最后仔细看了一下，他在X64代码里申请的栈空间后面有在X86环境下通过leave平栈，不确定这样会不会出问题， ...

试了1.21版本的eWOW64ect，第一句就崩了，请问这个还和易语言版本模块之类的有关吗- -（试过原demo 是后面崩，同样的源码放在我编的程序中GetNtdll64 ()这步就崩了

同学麻烦让让

Damnie 发表于 2021-12-2 12:37
试了1.21版本的eWOW64ect，第一句就崩了，请问这个还和易语言版本模块之类的有关吗- -（试过原demo 是后 ...

和易语言版本和模块应该是没关系的，就是一些简单的汇编调用，不管哪个版本的易语言应该都没问题，你连GETNTDLL64都崩的话估计真和你系统有关系了

Damnie

htpidk 发表于 2021-12-2 12:41
和易语言版本和模块应该是没关系的，就是一些简单的汇编调用，不管哪个版本的易语言应该都没问题，你连GE ...

感谢解惑
离谱的是我能注入成功，但call之后不执行并闪退了，其实做一个cmd调用就行，闪退也是这个程序闪，只是很想能用这个程序单独实现。

同学麻烦让让

Damnie 发表于 2021-12-2 14:48
感谢解惑
离谱的是我能注入成功，但call之后不执行并闪退了，其实做一个cmd调用就行，闪退也是这个程序闪 ...

他这段CALL仔细看起来应该是没什么大问题的，不过这种32位进程里调用64位函数的方法本来就是奇淫技巧不是常规方法，有一些因为系统或因为其他原因导致的BUG也不是没有可能，最主要的是还没有办法调试，OD里调试这些代码一进入64位环境OD就跑飞了。