Sandboxie注入notepad.exe进程空间中的变化

最新推荐文章于 2022-03-16 08:34:24 发布

joinpark

最新推荐文章于 2022-03-16 08:34:24 发布

阅读量196

点赞数

分类专栏： HOOK 钩子注入

本文链接：https://blog.csdn.net/joinpark/article/details/113751611

版权

本文详细分析了Sandboxie如何将notepad.exe进程中的正常代码0x000000007775C320替换为跳转到0x0000000000030990的指令，并展示了被替换后的不正确代码。通过0x0000000000030990的地址，可以看到一系列内存操作和调用，最终跳转到EntrypointC函数实现控制流程。

摘要由CSDN通过智能技术生成

m_LdrInitializeThunk = 0x000000007775c320
正常的代码
000000007775C320 push rbx
000000007775C322 sub rsp,20h
000000007775C326 mov rbx,rcx
000000007775C329 call 000000007775C350
000000007775C32E mov dl,1
000000007775C330 mov rcx,rbx
000000007775C333 call 0000000077781740
000000007775C338 mov ecx,eax
000000007775C33A call 00000000777FD7C0
000000007775C33F int 3

调整后实际变成了
000000007775C320 jmp 0000000000030990
000000007775C325 and byte ptr [rax-75h],cl //此处不是正确的代码，正确的代码在第二段
000000007775C328 fld1
000000007775C32A and al,byte ptr [rax]
000000007775C32C add byte ptr [rax],al
000000007775C32E mov dl,1
000000007775C330 mov rcx,rbx
000000007775C333 call 0000000077781740
000000007775