|
|
|---|---|
|
|
支持楼主,感谢楼主分享学习笔记
 804e6d1b e8523fffff call nt!KiInsertQueueApc (804dac72) 804e6d20 8ad8 （错误） mov bl,al 特征码就是sp_code1=0x28 sp_code2=0xe8 sp_code3=0xd88a（windbg显示有误，应该是d88a ） 804e6d20 8ad8 （错误） mov bl,al 说说这个,你说是windbg的错误,我不这么认为. 做为 mov bl,al 的机器码 8ad8 windbg并没有显示错误, 而你的 sp_code3=0xd88a . 如果你的 sp_code3 是 WORD 的话.那么你指向这块内存后.应该是 d88a . 要遵循高高低低原则嘛 如果我理解错的话,还请指出. |
|
|
|
|
|
LZ 可以再补充下以下方面
HOOK 时可能遇到的 当前环境偏移的一些问题 类似JMP CALL HOOK FASTCALL类型函数时 需要注意的地方 还有两个程序同时INLINE HOOK一个函数地址 实时检查自身HOOK 等问题 BTW :能用C实现的 建议不要用汇编代替 这样 像我这样的菜鸟 看起来才更易懂 
|
|
|
多谢大家指出问题
|
|
|
|
|
|
已经修改了
|
|
|
|
|
|
MJ大神请详细解析下把
我投降了
|
|
|
|
|
|
写这篇文章就是为了对刚接触inline，对inline还没概念的读者一个总结，的确修改函数头5个字节早过时了，但是inline的过程是不变的，inline要注意的事项也是通用的。由于个人对操作系统线程调度及底层知识不足，文章出现几大错误，感谢大家指正。
|
|
|
不错，总结得很好，虽然不是很懂！
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看清楚啊 括号去掉就都是减啊
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
[QUOTE=竹君;691973] if( _stricmp((char *)((ULONG)(*Object)+0x174),"notepad.exe")==0)
...[/QUOTE] 请教一下.这个0X174是怎么得来的 |
|
|
|
|
|
|
|
|
|
