|
1
：71A21B72 8B4508 mov eax， dword ptr [ebp+08]
：71A21B75 5F pop edi
：71A21B76 5E pop esi
：71A21B77 C9 leave
：71A21B78 C21000 ret 0010
下面用4种方法来HOOK这个API：
1，把API入口的第一条指令是PUSH EBP指令（机器码0x55）替换成INT 3（机器码0xcc），然后用WINDOWS提供的调试函数来执行自己的代码，这中方法被SOFT ICE等DEBUGER广泛采用，它就是通过BPX在相应的地方设一条INT 3指令来下断点的。但是不提倡用这种方法，因为它会与WINDOWS或调试工具产生冲突，而汇编代码基本都要调试；
2，把第二条mov ebp，esp指令（机器码8BEC，2字节）替换为INT 页码：[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] 第9页、共12页 |
