首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 经典问答
    3. 发新帖
这样一段代码什么意思 嵌入到wow64cpu.dll里的
发表于: 2015-7-17 10:53 6144

这样一段代码什么意思 嵌入到wow64cpu.dll里的

赵建新 活跃值
2015-7-17 10:53
6144
75033522    833C85 6079FE01>cmp dword ptr ds:[eax*4+0x1FE7960],0x0
7503352A    74 0C           je short wow64cpu.75033538
7503352C    9D              popfd
7503352D    61              popad
7503352E    83C4 04         add esp,0x4
75033531    FF2485 6079FE01 jmp dword ptr ds:[eax*4+0x1FE7960]
75033538    9D              popfd
75033539    61              popad
7503353A  ^ FF25 2C79FE01   jmp dword ptr ds:[0x1FE792C]             ; wow64cpu.75032329

这是HOOK Zw函数的
这句[eax*4+0x1FE7960]是怎么产生的

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (5)
赵建新
雪    币： 8
活跃值： (21)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
这么简单的汇编就没有人回答我下吗，还是我没复制到重要代码上？
2015-7-17 11:49
0
MClint
雪    币： 11
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
这不就是检测四字数组0x1FE7960[eax]是不是为0， 不为0就跳到它指向的地向，为0就其它处理
在wow64cpu中什么用？不知道， 没注意到它
2015-8-15 19:20
0
androidssd
雪    币： 6
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
大概的流程是上面说的那样，你应该仔细检查一下上下文。我估计这个可能是判断是否为null的，内核执行肯定要考虑全面点
2015-8-22 12:25
0
赵建新
雪    币： 8
活跃值： (21)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
帮忙看下谢谢
2016-2-20 11:40
0
火勺
雪    币： 96
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼 
__declspec(naked) void KiFastSystemCall()
{
  
  __asm{
    pushad
      pushfd

      cmp         dword ptr [eax*4+dwHookSystemCall],0

      jz          Label
      popfd
      popad
      add         esp,4
      jmp         dword ptr [dwHookSystemCall+eax*4]

Label:
      popfd
      popad
      jmp         KiFastSystemCallEx

  }
DWORD dwHookSystemCall[0x2048*2];

}
2016-3-6 16:08
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//