获取使用内联汇编调用我的函数的函数的地址

Question

我想知道如何检索使用内联汇编调用我的函数的函数的地址。我的想法是获取调用我的函数将返回的地址，并使用它之前的指令（即对调用我的函数的调用）检索调用我的函数的地址，并添加给该函数的偏移量call，到下一条指令的地址（调用我的函数将返回的地址）。到目前为止，我能够做到这一点，但要获取我的地址。它相当简单并且有效：

_asm
{
    mov eax, [ebp+4]
    mov returnTo,eax
}

long addressOfMine = (*((long*)(returnTo - sizeof(long)))) + returnTo)

这可以很好地检索我的地址。 （通过知道 [ebp+4] 是我的地址将返回的地址）

为了执行相同的操作，但比上面一步我尝试获取旧的 ebp 并执行相同的操作。我在一个网站上看到 [ebp+0] 是旧的 ebp，所以我尝试了：

_asm
{ 
    mov eax, [ebp]
    mov ebx, [eax+4]
    mov returnTo,ebx
}

long addressOfCaller = (*((long*)(returnTo - sizeof(long)))) + returnTo)

但它不起作用。所以，我的假设是错误的，或者我做错了什么，所以我想请求你的帮助。

Answer 1

为什么不直接使用操作系统提供的功能呢？这里有一对链接 如何获取堆栈跟踪C？

你可以尝试一些更复杂的http://www.yosefk.com/blog/getting-the-call-stack-without-a-frame-pointer.html

但是你必须注意，在 x86 模式下 调用约定并不容易，它取决于一些因素，例如您的操作系统、编译器、使用的调用约定， ETC。

Answer 2

这并不容易做到。您必须知道调用者有多少个参数和局部变量，在大多数情况下，以编程方式弄清楚这一点并不容易。如果您做出可能错误的假设，即编译器将 EBP 保留为堆栈帧持有者并且从不更改它（例如，这可能不适用于 -O3/2/1）

在被调用函数内部，你可以这样做，

mov ecx,ebp ;save our current stack frame
pop ebp ;get the old value of EBP that was there before our function got called
mov dword [_caller_address],dword [ebp+4] ;this isn't actually a valid opcode. you figure it out. 
mov ebp,ecx ;restore old state
push ebp 

但这是非常不安全的。对编译器的优化可能会破坏它。它仅适用于 x86-32，并且根据操作系统和编译器，如果遵循不同的调用标准，它可能无法工作。

它的工作方式是这样的：

C 中的函数看起来像

_Sum:
        push    ebp             ; create stack frame
        mov     ebp, esp
        mov     eax, [ebp+8]    ; grab the first argument
        mov     ecx, [ebp+12]   ; grab the second argument
        add     eax, ecx        ; sum the arguments
        pop     ebp             ; restore the base pointer
        ret

这样 所以，如果说你有 _SumCall 它看起来像

_SumCall:
        push    ebp             ; create stack frame
        mov     ebp, esp
        mov     eax, [ebp+8]    ; grab the first argument
        mov     ecx, [ebp+12]   ; grab the second argument
        push ecx ;first argument for call
        push eax ;second argument for call
        call _Sum
        pop     ebp             ; restore the base pointer
        ret

这样 所以你看，它依赖于被调用者负责堆栈帧保存的事实。

如果您尝试但不起作用，请确保调用方和被调用方都至少有 1 个局部变量/参数。如果失败了，那么好吧，你就完蛋了，因为编译器做了一些优化，打破了这个假设。

再次。这是非常不安全且极其不可移植

参考：http://courses.ece.illinois.edu/ece390/books/labmanual/c-prog-mixing.html

Answer 3

我有一个想法给你“未知（谷歌）”。检索函数将返回的地址，修补该地址以执行“到达它返回的位置并调用您的函数传递该值”，返回，并在回调中使用您收到的参数并修复您修补的内容与原始值。

顺便说一句，我希望你不会用它来入侵五角大楼的计算机。

Answer 4

来点更直一点的怎么样？ *不确定它是否适用于任何平台/CPU：

void adr(void *x)
{
    *(void**)x = *(&x - 1); // x points to input parameter pushed before call
}

void *x;
adr(&x); // sets return adress to x

Answer 5

好吧，只要你知道你正在做一些不可移植的事情。你知道吗？

我的意思是，并不是有十几个人还没说过……

所以。对于 x86（但不是 X64）上的函数，当未启用帧指针省略和其他优化时，这应该可以工作。并不适用于所有调用约定，但它应该适用于标准 C/C++ 调用约定。

void ** puEBP = NULL;
__asm { mov puEBP, ebp };
void * pvReturn = puEBP[1]; // this is the caller of my function

puEBP = (void**)puEBP[0];    // walk back to the previous frame
void * pvReturn2 = puEBP[1]; // this is the caller's caller

编辑：好吧，我现在很困惑。我再次查看了您的问题，据我所知，您的第一个代码片段在功能上与我刚刚编写的相同。但是你说该代码为你提供了函数的地址 - 但这不应该是真的。该代码片段应该将调用者的地址返回到您的函数。

edit2：添加代码以获取调用者的调用者。

顺便说一句，您在问题中显示的这段代码

long addressOfCaller = (*((long*)(returnTo - sizeof(long)))) + returnTo)

将不起作用。它基于这样的假设：进行调用的唯一方法是

call symbol

符号是函数的 4 字节绝对地址。
但这并不是拨打电话的唯一方式。也可以间接调用

mov eax, symbol
call [eax]

or

call [ref_symbol]

也可以相对于当前指令调用

call +12

但是你不需要这样做，一旦你知道调用函数中的任何地址，你可以使用 调试帮助库查找调用您的函数的地址。

为了使用 DebugHelp，您必须拥有代码的调试符号。然后只需使用
SymFromAddr。