-
-
inline hook里jmp的一点疑问,请高手指点.
-
发表于:
2009-9-11 11:49
5130
-
inline hook里jmp的一点疑问,请高手指点.
拷贝原函数的头5个字节,{0xe9,0,0,0,0}然后jmp到相对地址. 在中继函数里
add eax,oldfunc
add eax,5
jmp eax
这些都好理解,就跟ring3下的hook一样.
但那种{ea,0,0,0,0,0x08,0},中继函数12个字节,前5个就跟上面一样,就下面的跳转方式不一样,所谓的远程跳转就搞不明白了.
为什么要远程跳转啊.
我用NTopenprocess inline hook 测试了一下,用最上面的方法一切正常,换下面方法的就蓝屏.
请高人指点一下.这个远程跳转方式,一般要在hook哪类函数的时候才用.
最好说一下,为什么要远程跳转.保护模式下 jmp near 距离不是可以达到-2^32--2^32吗
网上资料: e9 相对地址 ea 绝对地址.
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
