|
我们把71A21B64处的CALL指令改为CALL 71A20400（原指令是这样的：CALL 71A21230）
而71A20400处的HOOK代码是这样的：
71A20400：
pushad
//在这里做你想做的事情
popad
jmp 71A21230 //跳转到原CALL指令的目标地址，原指令是这样的：call 71A21230
这种方法隐蔽性很好，但是比较难找这条5字节的CALL指令，计算相对地址也复杂。
4，替换71A21AFE地址上的cmp dword ptr [71A3201C]， 71A21C93指令（机器码：813D1C20A371931CA271，10字节）成为 call 71A20400
nop
nop
nop
nop
nop
（机器码：E8 XX XX XX XX 90 90 90 90 90，10字节）
在71A20400的HOOK代码是： pushad
mov edx，71A3201Ch //模拟原指令cmp dword ptr [71A3201C]， 71A21C93
页码：[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] 第11页、共12页 |
