我这段hook代码有什么问题

prc

#if 0
        *(unsigned char*)addfirst=(unsigned char)0xff;
        *(((unsigned char*)addfirst) +1)=(unsigned char)0x25;
                //下面是把second函数的地址写入到jmp指令后面
        DWORD lpnew=(DWORD)&second;
        memcpy((void*)(addfirst+2),(const void *)&lpnew,sizeof(DWORD));
#else
//mov eax, XXXXXXXX
//jmp eax
                *(unsigned char*)addfirst     = 0xb8;
                *(unsigned int *)(addfirst+1) = (DWORD)&second;
                *(unsigned short *)(addfirst+5) = 0xe0ff;
#endif

li574000

#if 0
        *(unsigned char*)addfirst=(unsigned char)0xff;
        *(((unsigned char*)addfirst)  ...
prc 发表于 2010-03-25 12:48

    谢谢，试验了下，可以执行。代码的意思是mov eax  second的地址,然后jmp [eax]，这样确实可以执行。但是为什么我以前的代码却不能够执行哪

OwnWaterloo

这里应该是near jmp， 0xe9。

1. 
   
2. #include <stddef.h>
   
3. #include <stdio.h>
   
4. #include <string.h>
   
5. 
   
6. #include <windows.h>
   
7. 
   
8. void victim(int i) {
   
9.       printf("victim(%d);\n", i);
   
10. }
    
11. 
    
12. void hack(int i) {
    
13.       printf("hack(%d);\n", i);
    
14. }
    
15. 
    
16. int main()
    
17. {
    
18.       void (* victim_)(int) = victim;
    
19.       void (* hack_)(int) = hack;
    
20. 
    
21.       printf("enter victim\n");
    
22.       victim_(1212);
    
23.       printf("leave victim\n\n");
    
24.       printf("enter hack\n");
    
25.       hack_(1212);
    
26.       printf("leave hack\n\n");
    
27. 
    
28.       DWORD old = 0;
    
29.       VirtualProtect(victim, 5, PAGE_EXECUTE_READWRITE, &old);
    
30.       *reinterpret_cast<unsigned char*>(victim_) = 0xe9;
    
31.       ptrdiff_t offset = reinterpret_cast<ptrdiff_t>(hack_)
    
32.                          - reinterpret_cast<ptrdiff_t>(victim_)
    
33.                          - 5;
    
34.       memcpy( reinterpret_cast<char*>(victim)+1, &offset, 4);
    
35.       printf("enter victim\n");
    
36.       victim_(1212);
    
37.       printf("leave victim\n\n");
    
38. }
    

复制代码

如果victim入口是 jmp victim_impl或者 call victim_impl， 那就可以将这5个字节修改， 使得其跳转到hack， hack再跳转到victim_impl。

但这是没有保证的（至少在上述代码中）， 有可能victim的入口之后， 就直接是真正的代码， 没有那一层多余的跳转。
所以victim被修改之后， 就不能执行victim原来的代码了。
不能 victim -> hack -> victim_impl。

我大概知道你想干什么……
Windows下的dll好像会留一个stub， 就是jmp victim_impl的形式， 就可以victim -> hack -> victim_impl。

li574000

谢谢各位，我再思考下

OwnWaterloo

回复 12# li574000

1. 
   
2. b8 xx xx xx xx, mov eax xx xx xx xx
   
3. ff e0, jmp eax
   

复制代码

懂了吧？

1. 
   
2. #include <stddef.h>
   
3. #include <stdio.h>
   
4. #include <string.h>
   
5. 
   
6. #include <windows.h>
   
7. 
   
8. void victim(int i) {
   
9.       printf("victim(%d);\n", i);
   
10. }
    
11. 
    
12. void hack(int i) {
    
13.       printf("hack(%d);\n", i);
    
14. }
    
15. 
    
16. int main()
    
17. {
    
18.       void (* victim_)(int) = victim;
    
19.       void (* hack_)(int) = hack;
    
20.       unsigned char* victim_p = reinterpret_cast<unsigned char*>(victim);
    
21. 
    
22.       printf("enter victim\n");
    
23.       victim_(1212);
    
24.       printf("leave victim\n\n");
    
25.       printf("enter hack\n");
    
26.       hack_(1212);
    
27.       printf("leave hack\n\n");
    
28. 
    
29.       DWORD old = 0;
    
30.       VirtualProtect(victim_p, 7, PAGE_EXECUTE_READWRITE, &old);
    
31. 
    
32.       victim_p[0] = 0xb8;
    
33.       ptrdiff_t hack_p = reinterpret_cast<ptrdiff_t>(hack);
    
34.       memcpy(victim_p+1, &hack_p, 4);
    
35.       victim_p[5] = 0xff;
    
36.       victim_p[6] = 0xe0;
    
37. 
    
38.       printf("enter victim\n");
    
39.       victim_(1212);
    
40.       printf("leave victim\n\n");
    
41. }
    

复制代码

li574000

楼上的代码我清楚了，不清楚的是我从书上抄的那段代码为什么不行，看上去没什么本质区别oxff25也是一个
跳转指令

OwnWaterloo

回复 16# li574000

操作数的寻址方式不同呗。

1. 
   
2. #include <stddef.h>
   
3. #include <stdio.h>
   
4. #include <string.h>
   
5. 
   
6. #include <windows.h>
   
7. 
   
8. void victim(int i) {
   
9.       printf("victim(%d);\n", i);
   
10. }
    
11. 
    
12. void hack(int i) {
    
13.       printf("hack(%d);\n", i);
    
14. }
    
15. 
    
16. int main()
    
17. {
    
18.       void (* victim_)(int) = victim;
    
19.       void (* hack_)(int) = hack;
    
20.       unsigned char* victim_p = reinterpret_cast<unsigned char*>(victim);
    
21. 
    
22.       printf("enter victim\n");
    
23.       victim_(1212);
    
24.       printf("leave victim\n\n");
    
25.       printf("enter hack\n");
    
26.       hack_(1212);
    
27.       printf("leave hack\n\n");
    
28. 
    
29.       DWORD old = 0;
    
30.       VirtualProtect(victim_p, 6, PAGE_EXECUTE_READWRITE, &old);
    
31. 
    
32.       victim_p[0] = 0xff;
    
33.       victim_p[1] = 0x25;
    
34.       ptrdiff_t hack_p = reinterpret_cast<ptrdiff_t>(&hack_);
    
35.       memcpy(victim_p+2, &hack_p, 4);
    
36. 
    
37.       printf("enter victim\n");
    
38.       victim_(1212);
    
39.       printf("leave victim\n\n");
    
40. }
    

复制代码

清楚了没？

prc

0041124E FF 25 5A 10 41 00 jmp         dword ptr [second (41105Ah)]
从反汇编来看，这条指令的意思是从绝对地址41105A处取出一个32位的跳转地址，然后再跳转到该地址
而不是直接跳转到41105A

li574000

哦，明白了，知道了，原始代码这样写就行了
DWORD lpnew=(DWORD)&second;
DWORD lpnnn=(DWORD)&lpnew;
memcpy((void*)(addfirst+2),(const void *)&lpnnn,sizeof(DWORD));

这么多加一个DWORD lpnnn=(DWORD)&lpnew;