Microsoft Detour - 带有汇编器“调用”的钩子函数操作说明

Question

这个板上的第一个问题已经很长了 - 对此我感到很抱歉（并在此感谢大家从这个平台得到的很棒的提示）。

我正在尝试使用 Microsoft Detours 挂钩多个函数（或多或少是插件代码，因此我要挂钩的函数不是我编写的/无法更改的，但可以在同一进程/线程中直接访问）。

每个应挂钩的函数都是由 C 风格编译器生成的，并且始终具有以下汇编器“启动”代码：

045A1A85  push        ebp  
045A1A86  push        ebx  
045A1A87  push        esi  
045A1A88  push        edi  
045A1A89  call        045A1A8E  
045A1A8E  pop         eax  
045A1A8F  mov         ebx,eax  
//go on with a little bit more assembler code

正如您所看到的，一些寄存器被推送到堆栈，然后调用指令到下一行（请不要要求更改此设置，正如已经说过的，我无权访问此生成的代码）。 call 指令更改了堆栈 - 此堆栈更改保存在 eax 寄存器中并用于进一步处理（!!!）

该方法将被挂钩到：

045A1A85  jmp         hooking_function (528040h)  
045A1A8A  int         3  
045A1A8B  int         3  
045A1A8C  int         3  
045A1A8D  int         3  
045A1A8E  pop         eax  

挂钩函数被定义为一个裸函数，它仅跳转到蹦床函数。

__inline __declspec(naked) void hooking_function()
{
    //more code in future
    __asm {
        jmp org_func_trampoline
    }
}

使用以下trampoline函数：

031F0060  push        ebp  
031F0061  push        ebx  
031F0062  push        esi  
031F0063  push        edi  
031F0064  call        045A1A8E  
031F0069  jmp         045A1A8E  

主要问题是trampoline汇编代码中的call指令 1) 将错误的值添加到堆栈（在本例中为 031f0064 而不是 045A1A89） -->使用 eax 进一步处理将收到错误的结果 2）或多或少地破坏了堆栈帧，因为下一个“ret”将跳回“031F0069”==>相同的处理将进行两次； ret 将再次被调用，导致错误的函数。

请理解，不能保证我想要挂钩的每个函数都以上述序言开头。因此我无法重写挂钩函数，并忽略蹦床方法。 ..

所以在所有这篇文章之后的基本问题是： 是否可以使用 Microsoft Detour 挂钩函数，在函数的前 5 个字节中调用调用指令？ （如果没有，还有其他选择吗？）

非常感谢您的阅读（并希望得到您的帮助）

Answer 1

原始代码执行

045A1A89  call        045A1A8E  
045A1A8E  pop         eax  

的只是获取eip寄存器内容的简单方法。 pop eax 立即从堆栈中删除返回地址 (045A1A8E) 并将 eax 设置为 eip 的值在其执行时。

Detours 显然无法知道这一点，并将其视为任何子例程，因此它从蹦床执行call 045A1A8E，这将导致不同的eax值（不同的>eip）。

我不完全确定为什么它会返回 031F0069，通过阅读您发布的代码，它不应该这样做。

所以，是的，这是一个非常特殊的情况。 Detours 通常能够完美地挂钩在前几条指令中进行调用的函数。这个只是成功地将这两条指令完美地放置在 Detours 中，以一种不利的方式将它们分开。