-
-
[翻译][12月专题]TheMida_defeating_ring0
-
2007-3-15 13:35
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
谢谢分享
看完了，感觉能看懂的只是极少数，谢谢笨笨雄翻译！ 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
[QUOTE=笨笨雄;287490]看不懂的可以说出来，交流一下啊
我在看antiantidump那篇文章 检查到 mov edi,edi push ebp mov ebp,esp 刚好5个字节，符合条件改成jmp(e9)+4字节地址偏移 QUOTE]  引用你的战友一句话:微软曾经可能采用inline hook做过系统补丁...
|
|
|
后来看到shoooo在新兵版答问题的时候帖了这个问题的答案。。。才知道我之前的理解错的厉害。。。加上mov edi,edi和在RET后面加上NOP，主要是为了解决HOT PATCH在多线程环境下的问题。短跳2个字节，跳到长跳5个字节，离高人还有很长距离啊
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不太懂 呵呵 正在努力
|
|
|
不太懂 呵呵 正在努力
|
