|
|
|---|---|
|
|
|
|
|
函数的开头有个 push ebp,mov ebp,esp
我要取的调用这个函数的地址（在堆栈顶层）被ebp又盖了一层。 所以先把ebp释放出来，于是被调用的地址就在栈顶了。 然后就是把那个地址给读取出来，为了简便，我用出栈、进栈的方式，获得堆栈顶层的数据 push eax push esi push edi push ebx push ecx push edx 这几行是因为我忘记i386中保存所有寄存器的那条指令叫做什么了。所以只好手动多写几行  （别笑话我）----------------------- push 0B0C7B1B5h pop DWORD PTR szInjectedFileName push 0CCB3F8BDh pop DWORD PTR szInjectedFileName+4 push 02020203Ah pop DWORD PTR szInjectedFileName+8 push进去的那几组数据是字符串:"当前进程: " 我以前都是在DOS下才用汇编的。386以后可以直接用mov指令了.我的习惯还停留在8086阶段  其实用MOV代替更好。push后的那些参数是按照DWORD把所有字节“高高低低”法则颠倒后的结果。（把一个汉字的编码倒回来）所以认不出本来面目了。 |
|
|
看了下你附件的东西,整理的比较规范,感谢你与大家分享你的经验
 提个建议:发表文章的时候,最好能有软件的演示效果,这样会让人感觉一目了然,针对你这篇文章,你可以给出几个提示框的效果,个人感觉这是个好习惯 错误提示一般是通过调用FormatMessage实现的,你的代码里也有这个函数 我一般都是直接嵌入下面代码的:
void GetErrorMessage ( DWORD dwErrorCode, char pMessage[] )
{
HLOCAL hLocal = NULL ;
FormatMessage ( FORMAT_MESSAGE_FROM_SYSTEM | FORMAT_MESSAGE_ALLOCATE_BUFFER,
NULL,
dwErrorCode,
MAKELANGID ( LANG_ENGLISH, SUBLANG_ENGLISH_US),
(PTSTR)&hLocal,
0,
NULL
) ;
if ( hLocal != NULL )
{
strcpy ( pMessage, (char*)hLocal ) ;
LocalFree ( hLocal ) ;
}
}
如果是在MFC中的话,直接改成成员函数即可 |
|
|
最初由 北极星2003 发布 怪不得……吸取经验了 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
