-
-
关于64位下的inlin hook
-
发表于: 2014-8-6 16:40
-
最近因为项目的需要,修改代码向64位支持,涉及到在64位下的inline hook,捣鼓过程中,
实在蛋痛的不得了
...问题的原因是挂钩调用完我的代理函数后,如何在不修改寄存器的情况
下返回原始挂钩后的代码...像push xxxx retn 已经不好使了...现把我的hook 代码贴一下,求
解决方法
实在蛋痛的不得了
...问题的原因是挂钩调用完我的代理函数后,如何在不修改寄存器的情况下返回原始挂钩后的代码...像push xxxx retn 已经不好使了...现把我的hook 代码贴一下,求
解决方法
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 | sub rsp,0x400push rsipush rdipush rdxpush raxpush rbxpush rcxpush rbppush r8push r9push r10push r11push r12push r13push r14push r15lea rax,[rsp+0x478]push raxmov rax,rsppush rax // 保存寄存器表mov rax,0x12345678 // 代理函数call rax add esp,0x08 // 64 不支持stdcall了,必须自己平衡下堆栈pop rax // 以下还原挂钩前各个寄存器原始的数据pop r15pop r14pop r13pop r12pop r11pop r10pop r9pop r8pop rbppop rcxpop rbxpop raxpop rdxpop rdipop rsiadd esp,0x400 //// 执行挂钩后的原始代码,这里省略// 。。。。////////////////////// 这里要返回原来的程序代码 ////////////////////////// 在 32 位下 :push xxxx retn // 就可以了,现在蛋疼的问题就在这里了，如果用 mov rax,xxxxjmp rax// 这样的就破坏了原始的数据..这样有违我的初衷// 求解决 |
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不好意思，回晚了,谢谢大家的热心帮忙.
昨天自己捣鼓好了，就没来看.... 我的解决方法跟10楼的哥们差不多... 再次感谢大家 
|
