-
-
[求助][求助]关于内核中的绝对跳转及编译后的函数
-
发表于:
2010-2-16 21:22
4232
-
[求助][求助]关于内核中的绝对跳转及编译后的函数
我想HOOK FindWindow，但是没有成功
My_FindWindow proc hwndParent:HANDLE , hwndChildAfter:HANDLE ,lpszClass:PWSTR , lpszWindow:PWSTR , dwType:DWORD
push 0bf8b128ch ;NtUserFindWindowEx
ret
My_FindWindow endp
编译后成了下面的样子：
push offset win32k!NtUserFindWindowEx (bf8b128c)
leave
ret 14h
我想问两个问题，上面的代码为什么编译后会加上leave?
另外，能否直接用Jmp 0bf8b128ch 跳过去，但是怎么才能直接编译"Jmp 0bf8b128ch"?
想做个宏来处理：
MJMP macro Address
db 0e9h ,%(Address-$)
endm
但是没有成功，请指点下，谢谢了
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
