[求助]jmp能做内存钩子，call可不可以呢？-求助问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (7)
KomiMoe 雪币： 35 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 32 粉丝 4 关注私信	KomiMoe 2 楼 E9 2020-5-1 16:48 1
mudebug 雪币： 8739 活跃值： (5925) 能力值： ( LV3，RANK：20 ) 在线值：发帖 9 回帖 306 粉丝 37 关注私信	mudebug 3 楼在代码中写入JMP指令 JMP 二进制 =E9 比如我要 JMP到 7777ABCD E9 后跟的是RVA 所以实际字节=指令所在地址（当前内存地址）+指令长度（5）+RVA（目标地址）即如果在 00552df7处要跳到7777ABCD 那么 RVA=7777ABCD-00552df7-5=77227DD1 即在00552df7处写入E977227DD1 2020-5-1 17:46 0
ezrealik 雪币： 1570 活跃值： (383) 能力值： ( LV3，RANK：30 ) 在线值：发帖 24 回帖 94 粉丝 1 关注私信	ezrealik 4 楼 JMP和Call最大的区别就是,call会产生一个esp偏移. 如果在HOOK跳转函数里没有处理就会因为esp跑偏造成堆栈错误崩溃. 所以一般hook都是使用无条件跳转 jmp 因为jmp不会让esp跑偏. 2020-5-2 06:49 0
嘿尼玛雪币： 62 活跃值： (369) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 16 粉丝 1 关注私信	嘿尼玛 5 楼 ezrealik JMP和Call最大的区别就是,call会产生一个esp偏移. 如果在HOOK跳转函数里没有处理就会因为esp跑偏造成堆栈错误崩溃. 所以一般hook都是使用无条件跳转 jmp 因为jmp不会让 ... 受教了感谢大佬解惑 2020-5-2 15:30 0
hzqst 雪币： 12848 活跃值： (9108) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 563 关注私信	hzqst 3 6 楼 call imm add $sp, sizeof(void *) 等价于 jmp imm 2020-5-2 16:19 0
嘿尼玛雪币： 62 活跃值： (369) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 16 粉丝 1 关注私信	嘿尼玛 7 楼 hzqst call imm add $sp, sizeof(void *) 等价于 jmp imm 感谢大佬赐教最后于 2020-5-2 20:47 被嘿尼玛编辑，原因： 2020-5-2 20:01 0
linyifeng 雪币： 631 活跃值： (46) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 98 粉丝 1 关注私信	linyifeng 8 楼可以的, 只要注意保存现场即可. 以前写的X86HOOK引擎, 你可以参考一下. https://bbs.pediy.com/thread-201954.htm 2020-5-8 17:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (7)
KomiMoe 雪币： 35 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 32 粉丝 4 关注私信	KomiMoe 2 楼 E9 2020-5-1 16:48 1
mudebug 雪币： 8739 活跃值： (5925) 能力值： ( LV3，RANK：20 ) 在线值：发帖 9 回帖 306 粉丝 37 关注私信	mudebug 3 楼在代码中写入JMP指令 JMP 二进制 =E9 比如我要 JMP到 7777ABCD E9 后跟的是RVA 所以实际字节=指令所在地址（当前内存地址）+指令长度（5）+RVA（目标地址）即如果在 00552df7处要跳到7777ABCD 那么 RVA=7777ABCD-00552df7-5=77227DD1 即在00552df7处写入E977227DD1 2020-5-1 17:46 0
ezrealik 雪币： 1570 活跃值： (383) 能力值： ( LV3，RANK：30 ) 在线值：发帖 24 回帖 94 粉丝 1 关注私信	ezrealik 4 楼 JMP和Call最大的区别就是,call会产生一个esp偏移. 如果在HOOK跳转函数里没有处理就会因为esp跑偏造成堆栈错误崩溃. 所以一般hook都是使用无条件跳转 jmp 因为jmp不会让esp跑偏. 2020-5-2 06:49 0
嘿尼玛雪币： 62 活跃值： (369) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 16 粉丝 1 关注私信	嘿尼玛 5 楼 ezrealik JMP和Call最大的区别就是,call会产生一个esp偏移. 如果在HOOK跳转函数里没有处理就会因为esp跑偏造成堆栈错误崩溃. 所以一般hook都是使用无条件跳转 jmp 因为jmp不会让 ... 受教了感谢大佬解惑 2020-5-2 15:30 0
hzqst 雪币： 12848 活跃值： (9108) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 563 关注私信	hzqst 3 6 楼 call imm add $sp, sizeof(void *) 等价于 jmp imm 2020-5-2 16:19 0
嘿尼玛雪币： 62 活跃值： (369) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 16 粉丝 1 关注私信	嘿尼玛 7 楼 hzqst call imm add $sp, sizeof(void *) 等价于 jmp imm 感谢大佬赐教最后于 2020-5-2 20:47 被嘿尼玛编辑，原因： 2020-5-2 20:01 0
linyifeng 雪币： 631 活跃值： (46) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 98 粉丝 1 关注私信	linyifeng 8 楼可以的, 只要注意保存现场即可. 以前写的X86HOOK引擎, 你可以参考一下. https://bbs.pediy.com/thread-201954.htm 2020-5-8 17:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

未解决 [求助]jmp能做内存钩子，call可不可以呢？