[求助]OD里给DLL打补丁，问题1已解决，请回复问题2-经典问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (12)
fqnyrymgk 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 4 粉丝 0 关注私信	fqnyrymgk 2 楼不明~~ 2008-12-3 19:47 0
icersg 雪币： 293 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 471 粉丝 0 关注私信	icersg 3 楼 jmp XXXXXXXX 可以。因为这里的用的是相对的偏移，不受dll加载基址的影响 call dword ptr [XXXXXXXX] 不可以。如果这里X直接填写数字的话，并且下次dll加载到不同的地址，就要出错了。如果处理了重定位表，或者这里的X是自己重定位算出来，那就另当别论了。 2008-12-3 19:53 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 4 楼 [QUOTE=icersg;544926]jmp XXXXXXXX 可以。因为这里的用的是相对的偏移，不受dll加载基址的影响 call dword ptr [XXXXXXXX] 不可以。如果这里X直接填写数字的话，并且下次dll加载到不同的地址，就要出错了。如果处理了重定位表，或者这里的X是自己重定位算出来，那就另当别论了。[/QUOTE] 但事实上jmp XXXXXXXX 的地址是绝对地址呀？重定位表如何计算？ 2008-12-3 20:00 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 5 楼版主今天怎么没来啊。。。。 2008-12-3 20:37 0
icersg 雪币： 293 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 471 粉丝 0 关注私信	icersg 6 楼 [QUOTE=lixiaodog;544933]但事实上jmp XXXXXXXX 的地址是绝对地址呀？重定位表如何计算？[/QUOTE] 在OD里面随便找一个jmp对照一下机器码和反汇编代码，你就会发现那个反汇编地址是经过OD翻译过的地址。重定位表看PE文档，写的很清楚。 2008-12-3 21:37 0
mik 雪币： 723 活跃值： (81) 能力值： ( LV9，RANK：170 ) 在线值：发帖 9 回帖 162 粉丝 11 关注私信	mik 4 7 楼你这个 push 0　只有两个字节，要想改为 jmp 只能在 -128 ~ +127　之间，在你的例子里不行 2008-12-3 22:06 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 8 楼我只是打个比方那几条语句是随便找的假如这些条件都允许的话，怎么弄因为我找全0处是0006D76E 我要在这个地方加入我的代码，我jmp的时候，写成jmp 0006D76E? 还是jmp 1006D76E? 2008-12-3 22:19 0
mik 雪币： 723 活跃值： (81) 能力值： ( LV9，RANK：170 ) 在线值：发帖 9 回帖 162 粉丝 11 关注私信	mik 4 9 楼直接写要jmp　的地方，od会帮你生成相应的代码 2008-12-3 22:26 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 10 楼谢谢你，这个问题明白了。那关于调用API的问题你怎么看？ 2008-12-3 22:44 0
mik 雪币： 723 活跃值： (81) 能力值： ( LV9，RANK：170 ) 在线值：发帖 9 回帖 162 粉丝 11 关注私信	mik 4 11 楼 call 属于自己的地址 2008-12-3 23:06 0
书呆彭雪币： 2110 活跃值： (21) 能力值： (RANK：260 ) 在线值：发帖 30 回帖 1861 粉丝 2 关注私信	书呆彭 6 12 楼使用标签功能。问题1：在你目标地址处，按分号（；）键，加一个标签，比如jmp_here，然后在patch点汇编“jmp jmp_here”即可，可以减少错误。当然直接写“jmp 地址”也是一样的，就是需要把地址记下来而已。因为是一个模块内部的地址，所以相对地址是不变的，汇编器会自动计算。问题2：如果你挨到了要调用的API在导入表的位置，比如在12345678，直接写成call [12345678]即可，同样校对地址由汇编器计算完成。但你找到的地址12345678必须在相应的文件中存在映射，不能是加载时或运行时分配的内存。 2008-12-3 23:15 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 13 楼谢谢版主，但我如何确定它是不是有这个映射存在？ 2008-12-4 13:56 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (12)
fqnyrymgk 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 4 粉丝 0 关注私信	fqnyrymgk 2 楼不明~~ 2008-12-3 19:47 0
icersg 雪币： 293 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 471 粉丝 0 关注私信	icersg 3 楼 jmp XXXXXXXX 可以。因为这里的用的是相对的偏移，不受dll加载基址的影响 call dword ptr [XXXXXXXX] 不可以。如果这里X直接填写数字的话，并且下次dll加载到不同的地址，就要出错了。如果处理了重定位表，或者这里的X是自己重定位算出来，那就另当别论了。 2008-12-3 19:53 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 4 楼 [QUOTE=icersg;544926]jmp XXXXXXXX 可以。因为这里的用的是相对的偏移，不受dll加载基址的影响 call dword ptr [XXXXXXXX] 不可以。如果这里X直接填写数字的话，并且下次dll加载到不同的地址，就要出错了。如果处理了重定位表，或者这里的X是自己重定位算出来，那就另当别论了。[/QUOTE] 但事实上jmp XXXXXXXX 的地址是绝对地址呀？重定位表如何计算？ 2008-12-3 20:00 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 5 楼版主今天怎么没来啊。。。。 2008-12-3 20:37 0
icersg 雪币： 293 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 471 粉丝 0 关注私信	icersg 6 楼 [QUOTE=lixiaodog;544933]但事实上jmp XXXXXXXX 的地址是绝对地址呀？重定位表如何计算？[/QUOTE] 在OD里面随便找一个jmp对照一下机器码和反汇编代码，你就会发现那个反汇编地址是经过OD翻译过的地址。重定位表看PE文档，写的很清楚。 2008-12-3 21:37 0
mik 雪币： 723 活跃值： (81) 能力值： ( LV9，RANK：170 ) 在线值：发帖 9 回帖 162 粉丝 11 关注私信	mik 4 7 楼你这个 push 0　只有两个字节，要想改为 jmp 只能在 -128 ~ +127　之间，在你的例子里不行 2008-12-3 22:06 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 8 楼我只是打个比方那几条语句是随便找的假如这些条件都允许的话，怎么弄因为我找全0处是0006D76E 我要在这个地方加入我的代码，我jmp的时候，写成jmp 0006D76E? 还是jmp 1006D76E? 2008-12-3 22:19 0
mik 雪币： 723 活跃值： (81) 能力值： ( LV9，RANK：170 ) 在线值：发帖 9 回帖 162 粉丝 11 关注私信	mik 4 9 楼直接写要jmp　的地方，od会帮你生成相应的代码 2008-12-3 22:26 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 10 楼谢谢你，这个问题明白了。那关于调用API的问题你怎么看？ 2008-12-3 22:44 0
mik 雪币： 723 活跃值： (81) 能力值： ( LV9，RANK：170 ) 在线值：发帖 9 回帖 162 粉丝 11 关注私信	mik 4 11 楼 call 属于自己的地址 2008-12-3 23:06 0
书呆彭雪币： 2110 活跃值： (21) 能力值： (RANK：260 ) 在线值：发帖 30 回帖 1861 粉丝 2 关注私信	书呆彭 6 12 楼使用标签功能。问题1：在你目标地址处，按分号（；）键，加一个标签，比如jmp_here，然后在patch点汇编“jmp jmp_here”即可，可以减少错误。当然直接写“jmp 地址”也是一样的，就是需要把地址记下来而已。因为是一个模块内部的地址，所以相对地址是不变的，汇编器会自动计算。问题2：如果你挨到了要调用的API在导入表的位置，比如在12345678，直接写成call [12345678]即可，同样校对地址由汇编器计算完成。但你找到的地址12345678必须在相应的文件中存在映射，不能是加载时或运行时分配的内存。 2008-12-3 23:15 0
lixiaodog 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 46 粉丝 0 关注私信	lixiaodog 13 楼谢谢版主，但我如何确定它是不是有这个映射存在？ 2008-12-4 13:56 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复