为什么我的绕道代码会因 NOP 崩溃

Question

你好，这是我的第一个问题，所以请温柔地对待我。我正在使用 MS detours 和 Visual Studio 2005 绕过一个 exe，我的 dll 被加载，我的钩子工作得很好，但是当我尝试扩展我的钩子代码时，出现了问题，整个事情崩溃了，我认为它在 exe 中创建了一个异常，弹出了一个消息框联系支持。

typedef void (__stdcall* GenterateStrings)(int,int,int);

GenterateStrings Real_GenterateStrings = (GenterateStrings)(0x06EDFA0);

extern "C" { static void __stdcall myGenterateStrings(int,int,int); }

void __stdcall myGenterateStrings(int a1, int a2, int a3) 
{   
    myLogMessage(L"its working");
    Real_GenterateStrings( a1,  a2,  a3);
    return;
}

这毫无例外，我的日志文件中充满了“它正在工作”，但是，我需要在 Real_GenterateStrings() 调用之后捕获 EAX，因为它包含指向 unicode 字符串的指针。

但如果我在 Real_GenterateStrings 调用之后放置任何代码，就会在挂钩后立即导致崩溃。即使只是一个 nop

void __stdcall PokerAdvisorGenterateStrings(int a1, int a2, int a3) 
{   
    myLogMessage(L"its working");
    Real_GenterateStrings( a1,  a2,  a3);
    __asm   
    {
        nop
    }   
    return;
}

有什么想法吗？

我挂钩的函数是

mov     eax, [rsp+0Ch]
mov     ecx, [rsp+8]
mov     edx, cs:113650Ah
push    rax
mov     eax, [rsp+8]
push    rcx
push    rdx
push    0A3CA2Ch
push    rax
call      near ptr unk_6AB8E0
add     esp, 14h
retn

我认为它没有返回值？

Answer 1

你怎么知道eax中有东西？

一般来说，绕行崩溃通常是由于不准确的调用约定和/或原型造成的。我怀疑绕道函数返回 void* 或其他内容。您需要捕获返回值并在完成后将其传递给调用者，如下所示：

typedef void* (__stdcall* GenterateStrings)(int,int,int);

GenterateStrings Real_GenterateStrings = (GenterateStrings)(0x06EDFA0);

extern "C" { static void __stdcall myGenterateStrings(int,int,int); }

void* __stdcall myGenterateStrings(int a1, int a2, int a3) 
{   
    myLogMessage(L"its working");
    void* ret = Real_GenterateStrings( a1,  a2,  a3);
    __asm   
    {
        nop
    }   

    return ret;
}