|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
执行一个指令停下判断eip
|
|
|
|
|
|
|
|
|
关于监视eip
如果ring3的话 你可以创建一个子函数，映射进内存 然后模仿调试器替换int3h的方法,先把监控目标的入口指令替换成 call 你自己创建的子函数 在子函数就可以得到下一条指令的eip了，做完判断后再替换下一条指令为call 你自己创建的子函数 ，一步步替换下去就可以了，不过执行效率嘛，就不说了。做个玩具还可以  ps:替换成int3h，然后用seh来处理也一样啦，如果搂主能想办法解决误报和效率问题，期待Ing 现在那些杀毒的监控溢出一般都在某几个关键函数，如loadlibrary ,getprocaddress之类的返回时判断一下，全程判断估计也解决不了误报和效率问题吧，也许是俺见识少，反正还不大知道 |
|
|
|
