-
-
未解决 [求助]Inline hook如何才能不破坏原寄存器和堆栈环境?
-
发表于: 2020-8-8 18:33
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
x64通常由rsp+偏移来寻址,如果把寄存器给压入栈,那真的还能寻到多余4个的参数吗? 另外,可否请教一下"用线程局部变量来保存寄存器数据"该怎么做? |
|
|
谢谢,不过我指的是执行代理函数的代码会破坏现场啦, |
|
|
pushfq+pushaq+call internalproxy+popaq+popfq |
|
|
这么一堆push,那可不就寻不到第5,6,7...个参数了吗? |
|
|
mov rcx, rsp然后自己从stack+offset取啊 |
|
|
根据x64函数调用规则，以rsp+偏移的形式，超过4个参数由堆栈来传递 那么代理函数把第5个参数从堆栈中取出来，按照规则再入一次栈，就可以传递给原函数调用 而线程局部变量是为了多线程同时调用函数，使每个变量的数据都只对其所属线程可见 也就是说其作用域只存在于此线程，数据不会被别的线程破坏，根据这一点，就可以用作寄存器数据的保存 |
|
|
感觉实现起来还是很棘手,不知有没有相关资料,代码,或x64内核hook库推荐? |
|
|
棘手后才可以熟能生巧，怕棘手就干不成这事 |
|
|
好的,谢谢啦 |
|
|
|
|
|
请问“动态生成编写汇编跳板”是什么意思？ |
|
|
|
|
|
|
|
|
明白啦, 感谢大佬 |
|
|
|
|
|
hao |
hzqst
