不用超级hook之类模块 怎么把寄存器值赋值给申请的内存地...

独倚斜阳

不用超级hook之类模块 怎么把寄存器值赋值给新申请的内存地址？新申请的内存地址不是固定的

我在源汇编字段   jmp+执行修改后的代码+jmp跳回来  如果是那种固定的字段还好 比如给其他寄存器赋值=0,100之类的还好。
但是实际上有时候需要实现类似 读取寄存器的功能

新申请内存地址=内存.申请地址（句柄，长度，属性）
然后我开始写jmp（进程句柄, 目标地址长整数型, 还原字节集_ (“0F 0F 0F 0F 48 8D 0F 40”), 还原字节集_ (“***************”)

还原字节集里面
  movaps xmm6,[rax+30]
  mov [XXXX],rax          ————这个XXXX是我新申请的内存地址，每次申请出来不一样，我没法改成字节集啊，找了半天论坛 也找不到能在运行中把汇编代码计算成字节集的例子        
  lea rax,[rdi+40]


不想用有的模块去hook寄存器，开始找了个 扒了了下源码想单独提取出来，结果越扒越多放弃了。。。。

谁的坏叔叔

大改就是这样还需要你灵活运用 我这是写死了

po1718

到字节集(新内存地址) ,这不就是字节集吗?


补充内容 (2024-11-26 08:39):
你也可以把这个新内存地址先传进寄存器,然后再把rax传进去.,就不用转字节集了

谁的坏叔叔

举个例子
000002914BCA000 | 0F2870 1E                 | movaps xmm6,xmmword ptr ds:[rax+0x1E]  | 用户分配的内存
000002914BCA000 | 48:8905 25000000          | mov qword ptr ds:[0x2914BCA0030],rax   |

48:8905 这个是是固定的代表rax
而25000000则＝2914BCA0030-2914BCA000-7(字节数)结果=25