关于inline hook中函数地址计算的理解

最新推荐文章于 2022-09-26 21:37:54 发布

hbprotoss

最新推荐文章于 2022-09-26 21:37:54 发布

阅读量1.9k

点赞数

分类专栏：安全相关文章标签： hook api byte

本文链接：https://blog.csdn.net/digimon/article/details/6844003

版权

13 篇文章 0 订阅

订阅专栏

// MyFuncAddr ＝ destFunc的实际地址
MyFuncAddr = *(ULONG *)((BYTE *)destFunc+1) + (ULONG)destFunc + 5;

有如上一段计算函数实际地址的代码。查了N多资料以后。。。。。。终于明白了

在debug版本的函数调用和Win32 API调用中，call指令后面跟的不是真正函数体的地址，而是一段jmp跳转指令，而且是近转移。

e9 8b 05 00 00

所以destFunc向后偏一个字节，再转成ULONG指针取地址就会得到这一段的JMP的偏移地址，再加上JMP代码本身的地址和JMP代码长度就会得到目标函数的真实地址。

不知道debug版本和Win32 API要这么处理函数调用~~求高手解答

关注

专栏目录