怎么知道一个函数被其他注入的dll调用时的地址？

千钧 · 发表于 2023-9-27 02:48:48

怎么知道一个函数被其他注入的dll调用时的地址？
比如1.exe被1.dll注入了，1.dll调用了1.exe的读内存 ReadProcessMemory 函数

然后我怎么知道1.dll调用1.exe的读内存 ReadProcessMemory 函数调用时的地址？

不是ReadProcessMemory函数地址，是1.dll那个调用1.exe函数时的地址，是1.dll那个内部调用这个1.exe函数的那个地址

我知道可以用CE，但是如果用代码应该怎么写？

你不丑 · 发表于 2023-9-27 04:42:35

用内核调试工具查看

就想改个名字 · 发表于 2023-9-27 08:38:53

直接call回溯可以知道大概的地址但是回溯也是可以伪造的后面就靠经验了

千钧 · 发表于 2023-9-27 21:18:05

就想改个名字发表于 2023-9-27 08:38
直接call回溯可以知道大概的地址但是回溯也是可以伪造的后面就靠经验了 ...

call回溯有相关代码吗

就想改个名字 · 发表于 2023-9-27 21:42:35

千钧发表于 2023-9-27 21:18
call回溯有相关代码吗

最简单的就是ebp+0x4

千钧 · 发表于 2023-9-27 21:43:21

就想改个名字发表于 2023-9-27 21:42
最简单的就是ebp+0x4

还需要写HOOK？

就想改个名字 · 发表于 2023-9-27 21:45:53

千钧发表于 2023-9-27 21:43
还需要写HOOK？

如果1.exe是你自己写的可以增加代码就不用如果不是你写的就需要其他的还有检测调用线程但是也可以绕过

千钧 · 发表于 2023-9-27 21:46:48

就想改个名字发表于 2023-9-27 21:45
如果1.exe是你自己写的可以增加代码就不用如果不是你写的就需要其他的还有检测调用线程但是 ...

有这种call回溯的相关代码参考吗大佬

就想改个名字 · 发表于 2023-9-27 21:52:01

千钧发表于 2023-9-27 21:46
有这种call回溯的相关代码参考吗大佬

我不是大佬只是工作中会用到一点点
我也是网上查资料然后根据自己需要的写的所以没有太大的参考价值

千钧 · 发表于 2023-9-27 22:00:15

就想改个名字发表于 2023-9-27 21:52
我不是大佬只是工作中会用到一点点
我也是网上查资料然后根据自己需要的写的所以没有太大的参 ...

ebp+0x4加上去不会爆炸吗

		自动登录	找回密码
密码			注册

[求助] 怎么知道一个函数被其他注入的dll调用时的地址？