|
F0指令（机器码CDF0），然后在IDT里设置一个中断门，指向我们的代码。我这里给出一个HOOK代码：
lea ebp，[esp+12] //模拟原指令mov ebp，esp的功能
pushfd //保存现场
pushad //保存现场
//在这里做你想做的事情
popad //恢复现场
popfd //恢复现场
iretd //返回原指令的下一条指令继续执行原函数（71A21AF7地址处）
这种方法很好，但缺点是要在IDT设置一个中断门，也就是要进RING0.
3，更改CALL指令的相对地址（CALL分别在71A21B12、71A21B25、71A21B64，但前面2条CALL之前有一个条件跳转指令，有可能不被执行到，因此我们要HOOK 71A21B64处的CALL指令）。为什么要找CALL指令下手？因为它们都是5字节的指令，而且都是CALL指令，只要保持操作码0xE8不变，改变后面的相对地址就可以转到我们的HOOK代码去执行了，在我们的HOOK代码后面再转到目标地址去执行。
假设我们的HOOK代码在71A20400处，那么 页码：[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] 第10页、共12页 |
