为什么inlink hook NtQueryDirectoryFile从第5字节跳老是出错呢？
BYTE  OriginalBytes[7]={0};             //保存原始函数前五个字节           
BYTE JmpAddress[7]={0xE9,0,0,0,0,0x90,0x58}; //0x58就是pop eax

__declspec(naked) NTAPI OriginalNtQueryDirectoryFile(
  IN  HANDLE FileHandle,
  IN  HANDLE Event OPTIONAL,
  IN  PIO_APC_ROUTINE ApcRoutine OPTIONAL,
  IN  PVOID ApcContext OPTIONAL,
  OUT PIO_STATUS_BLOCK IoStatusBlock,
  OUT PVOID FileInformation,
  IN  ULONG Length,
  IN  FILE_INFORMATION_CLASS FileInformationClass,
  IN  BOOLEAN ReturnSingleEntry,
  IN  PUNICODE_STRING FileName OPTIONAL,
  IN  BOOLEAN RestartScan
  )
{

     _asm       
        {   
         
                         lea eax,[ebp+2Ch]  //恢复原指令
                         push eax
                         lea eax,[ebp+28h]
                         push eax
                         mov eax,NtQueryDirectoryFile
                         add eax,11   //如果JmpAddress[7]={0xE9,0,0,0,0,0x90,0x90}; 那么就要add eax,13,即把跳回来的push eax跳过
                         jmp eax               
                       
        }

}
我试了很多次,用双机windgb看JMP地址及代码都没问题,而且,jmp eax后的地址也正确。但就是蓝屏。太奇怪了。
lkd> u NtQueryDirectoryFile
nt!NtQueryDirectoryFile:
8056ef2e 8bff            mov     edi,edi
8056ef30 55              push    ebp
8056ef31 8bec            mov     ebp,esp
8056ef33 8d452c          lea     eax,[ebp+2Ch]
8056ef36 50              push    eax
8056ef37 8d4528          lea     eax,[ebp+28h]
8056ef3a 50              push    eax
8056ef3b 8d4524          lea     eax,[ebp+24h]
就是从红色这句跳。因为占了7字节，所以恢复三句。
     感觉一切正常，但是就是蓝屏。请高手指点一下。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)