http://www.54kubi.cn/forum.php?mod=viewthread&tid=32
翻了一个inline hook的代码，大致原理大概知道了，有个函数不是很明白

BOOLEAN RelocateJumps(IN PVOID FuncPtr, IN ULONG Reloc, IN ULONG Length)
{
        ULONG Offset = 0, CodeLen;
        do {
                CodeLen = ade32_disasm((PVOID)((ULONG)FuncPtr + Offset));
                if (CodeLen == 0) return FALSE;
                switch (*(PUCHAR)((ULONG)FuncPtr + Offset)) {
                case 0x70:
                case 0x71:
                case 0x72:
                case 0x73:
                case 0x74:
                case 0x75:
                case 0x76:
                case 0x77:
                case 0x78:
                case 0x79:
                case 0x7a:
                case 0x7b:
                case 0x7c:
                case 0x7d:
                case 0x7e:
                case 0x7f:
                case 0xe0:
                case 0xe1:
                case 0xe2:
                case 0xe3:
                case 0xea:
                case 0xeb:
                        return FALSE;
                case 0xe8:
                case 0xe9:
                        *(PULONG)((ULONG)FuncPtr + Offset + 1) -= Reloc;
                        break;
                }
                Offset += CodeLen;
        } while (Offset < Length);
        return TRUE;
}

HOOK的代码是这样写的

        ULONG uCodeLen = MeasureCodeLength(NtOpenProcess, 5);
        g_OriginalNtOpenProcess = (ULONG)NtOpenProcess + uCodeLen;
        memcpy(g_szBackCode, NtOpenProcess, uCodeLen);

        RelocateJumps(NtOpenProcess, (ULONG)FuckNtOpenProcess - (ULONG)NtOpenProcess, uCodeLen);
        WriteJump(NtOpenProcess, FuckNtOpenProcess);

这个第一个是获取一个5字节以上的完整的汇编长度，然后保存汇编指令。

后面一条是在头上写入5字节跳转指定，但是中间这个是啥意思啊，也不知道他想干嘛
那一段标红的赋值也不知道啥意思~~

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)