首页
社区
课程
招聘
[求助]JMP FAR 0008:0XAAAAAA
发表于: 2009-6-12 15:45 6768

[求助]JMP FAR 0008:0XAAAAAA

2009-6-12 15:45
6768
看一本书上的inline hook NtDeviceIoControlFile 这个函数的例子,用来实现detour的汇编代码是
jmp far 0008:0xAAAAAAAA
0xAAAAAAAA
就是detour 函数的地址 ,可是不明白为什么还要加上0008?
直接jmp far 0xAAAAAAAA可以吗?

恳请大家赐教!

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (4)
雪    币: 164
活跃值: (10)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
2
段寄存器吧。
2009-6-12 16:54
0
雪    币: 229
活跃值: (483)
能力值: ( LV10,RANK:170 )
在线值:
发帖
回帖
粉丝
3
选择子
......................
2009-6-12 23:28
0
雪    币: 164
活跃值: (10)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
4
补充一下。
这个是intel指令的限制。
jmp far 必须是
jmp far xxx:xxxxxxx的格式
其中
:之前的是赋给CS的
:之后的给EIP
其中忽略了权限比较等操作。

Opcode \ Instruction  \64-Bit Mode  \Compat/Leg Mode     \Description
EB cb     \JMP rel8     \Valid     \Valid             \ Jump short, RIP = RIP + 8-bit displacement sign extended to 64-bits
E9 cw     \JMP rel16     \N.S.    \ Valid           \   Jump near, relative, displacement relative to next instruction. Not supported in 64-bit mode.
E9 cd     \JMP rel32     \Valid    \ Valid          \   Jump near, relative, RIP = RIP + 32-bit displacement sign extended to 64-bits
FF /4     \JMP r/m16   \  N.S.  \   Valid           \   Jump near, absolute indirect, address = sign-extended r/m16. Not supported in 64-bit mode.
FF /4     \JMP r/m32    \ N.S.   \  Valid        \     Jump near, absolute indirect, address = sign-extended r/m32. Not supported in 64-bit mode.
FF /4     \JMP r/m64   \  Valid  \   N.E.          \   Jump near, absolute indirect, RIP = 64-Bitoffset from register or memory
EA cd     \JMP ptr16:16 \    Inv.  \   Valid     \     Jump far, absolute, address given in operand
EA cp     \JMP ptr16:32   \  Inv.   \  Valid      \    Jump far, absolute, address given in operand
FF /5     \JMP m16:16     \Valid    \ Valid        \   Jump far, absolute indirect, address given in m16:16
FF /5     \JMP m16:32   \  Valid   \  Valid       \    Jump far, absolute indirect, address given in m16:32.REX.W +
FF /5     \JMP m16:64    \ Valid     \N.E.        \    Jump far, absolute indirect, address given in m16:64.
2009-6-13 01:34
0
雪    币: 403
活跃值: (330)
能力值: ( LV12,RANK:230 )
在线值:
发帖
回帖
粉丝
5
非常感谢您的讲解!
2009-6-13 08:49
0
游客
登录 | 注册 方可回帖
返回
//