apihook完全手冊(編輯修改稿)
2025-07-22 06:00 本頁面
【文章內容簡介】 D PTR [00400120H]…如果我們手動把這段代碼copy到另外一個地方，如00500000，那么顯然00400120H這個地址需要被修改，我們當然可以仿照自重定位的方法來手動修改這個地址值，但是通常較簡單的方法是寫自重定位代碼，這樣的代碼可以在任意地址執(zhí)行，具體做法如下：call @F@@:pop ebxsub ebx,offset @BDATA db 12h, 34h, 56h, 78hMOV EAX, [EBX + DATA]可以看到，該段代碼通過使用call指令壓入當前地址eip并彈出從而得到當前地址。然后，用當前地址減去其標號的偏移量就得到重定位修正值，存入ebx之中。之后，就可以使用ebx作為一個基準來訪問數(shù)據(jù)，以后訪問數(shù)據(jù)可以用EBX + ???來訪問，這樣由于EBX會根據(jù)當前的地址值而變化，所以這段代碼是自重定位的。下面給出一段代碼，這段代碼中的InjectRemoteCode函數(shù)負責將RemoteThread這個函數(shù)的自重定位代碼Copy到其他進程中執(zhí)行：。=============================================================================。 。 Author : ATField。 Description :。 This assembly file contains a InjectRemoteCode function。 which injects remote code into a process。 History :。 200438 Start。 200439 Completed and tested.。 2004326 bug fix:。 not all clients connected。 Wait for pletion of the remote thread。=============================================================================.386.MODEL FLAT, STDCALL 。 must be stdcall here,。 or link error will occurOPTION CASEMAP:NONE INCLUDE INCLUDE INCLUDELIB INCLUDE INCLUDELIB 。INCLUDE .DATAhRemoteThread dd 0szKernel32 db 39。39。,0hmodKernel32 dd 0szGetProcAddress db 39。GetProcAddress39。,0szLoadLibraryA db 39。LoadLibraryA39。,0lpRemoteCode dd 0lpGetProcAddress dd 0lpLoadLibraryA dd 0.CODE。=============================================================================。 remote code starts here。=============================================================================REMOTE_CODE_START equ this byte。=============================================================================。 data。=============================================================================lpRemoteGetProcAddress dd 0lpRemoteLoadLibraryA dd 0szRemoteDllPathName db 255 dup(0)lpRemoteDllHandle dd 0lpRemoteInitDll dd 0szRemoteInitDllFuncName db 39。InitializeDll39。,0。=============================================================================RemoteThread PROC uses ebx lParam 。=====================================================================。 relocation。=====================================================================。 just for debug。int 3 call @F@@:pop ebxsub ebx,offset @B 。 LoadLibraryA szRemoteDllPathNamelea ecx, [ebx + offset szRemoteDllPathName]push ecxcall [ebx + offset lpRemoteLoadLibraryA] test eax, eaxjz error mov [ebx + offset lpRemoteDllHandle], eax。 GetProcAddress hModule InitializeDlllea ecx, [ebx + offset szRemoteInitDllFuncName]push ecx 。 39。InitializeDll39。push [ebx + offset lpRemoteDllHandle] 。 hmodulecall [ebx + offset lpRemoteGetProcAddress] test eax, eaxjz error 。 InitializeDll()call eaxreterror:mov eax, 1retRemoteThread endpREMOTE_CODE_END equ this byte
法律信息相關推薦
鄂ICP備17016276號-1