首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]如何获取进程里某一线程当前执行的函数地址
发表于: 2014-2-13 17:57 7183

[求助]如何获取进程里某一线程当前执行的函数地址

RockyHuang 活跃值
2014-2-13 17:57
7183
各位高手好。

请问下要怎么获取进程里某一线程当前执行的函数地址。

不需要符号，只需要函数入口地址就行。

谢谢！

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (6)
Rookietp
雪    币： 1042
活跃值： (500)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
http://www.51xue8xue8.com/thread-553-1-1.html
2014-2-13 18:29
0
iceway
雪    币： 19
活跃值： (1086)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
hook CreateThread行不 我知道这样很蠢
应该线程的信息有一个结构体保存起来的
2014-2-13 18:34
0
lovelyday
雪    币： 31
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
GetThreadContext
2014-2-13 18:46
0
Naylon
雪    币： 227
活跃值： (66)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
5 楼
SuspendThread、GetThreadContext
Context.Eip是当前执行的指令地址
要找函数起始地址的话，栈回溯一层，分析返回地址[ebp+4h]之上的一条call指令
以上只针对一般情况
2014-2-13 19:56
0
RockyHuang
雪    币： 1
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
[QUOTE=Naylon;1260891]SuspendThread、GetThreadContext
Context.Eip是当前执行的指令地址
要找函数起始地址的话，栈回溯一层，分析返回地址[ebp+4h]之上的一条call指令
以上只针对一般情况[/QUOTE]

谢谢！
不过我对汇编不是很了解，怎么从当前执行指令的地址获得函数的起始地址，可以说得详细一点吗？
或者帮我封装成个c接口，谢谢！
2014-2-14 00:47
0
aiwuxian
雪    币： 281
活跃值： (33)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
栈回溯，找返回地址，上一句指令里面有地址，call IAT的 应该是FF15 XXXXXXXX
call内部函数 是E8 XXXXXXXX

具体自己玩吧~~~
2014-2-14 02:53
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//