妙用mov edi,edi和5个nop实现inline hook

最新推荐文章于 2024-04-19 22:00:26 发布

转载最新推荐文章于 2024-04-19 22:00:26 发布 · 839 阅读

win hook 专栏收录该内容

16 篇文章

订阅专栏

本文介绍了通过修改 API 的 movedi, edi 指令和前五个 nop 指令来实现 inlinehook 的方法。通过将 movedi, edi 改为短跳转指令，将五个 nop 替换为远跳转指令，可以在不保存/恢复前五个字节的情况下实现 hook，简化了传统 inlinehook 的操作。

妙用mov edi,edi和5个nop实现inline hook

2008年2月22日 | 分类: 其它技术 | 标签: inline hook, nop

这方法MJ很早时就说过了，简单重复下。
大家应该发现大部分API的第一条指令都是mov edi,edi，比如在我的电脑上MessageBoxA的代码如下：

77D5058A >    8BFF           mov     edi, edi
77D5058C  /.  55             push    ebp
77D5058D  |.  8BEC           mov     ebp, esp
77D5058F  |.  833D BC04D777 >cmp     dword ptr [77D704BC], 0
77D50596  |.  74 24          je      short 77D505BC
77D50598  |.  64:A1 18000000 mov     eax, dword ptr fs:[18]

mov edi,edi完全没起任何作用，貌似一条垃圾指令。不过大家是否还发现除了mov edi,edi外，大部分API前面刚好还有5个nop，如下：

77D50585      90             nop
77D50586      90             nop
77D50587      90             nop
77D50588      90             nop
77D50589      90             nop
77D5058A >    8BFF           mov     edi, edi
77D5058C  /.  55             push    ebp
77D5058D  |.  8BEC           mov     ebp, esp
77D5058F  |.  833D BC04D777 >cmp     dword ptr [77D704BC], 0
77D50596  |.  74 24          je      short 77D505BC
77D50598  |.  64:A1 18000000 mov     eax, dword ptr fs:[18]

5个nop不是刚好可以改成一个远jmp吗，而mov edi,edi这条“垃圾”指令刚好可以改成一个短jmp，这样新型的inline hook就出世了，呵呵，我们只要把mov edi,edi改为往回跳5个字节，而把5个nop改成jmp到自己的代码就行了，如下：

77D50585    - E9 XXXXXXXX    jmp     XXXXXXXX
77D5058A >  ^ EB F9          jmp     short 77D50585
77D5058C  /.  55             push    ebp
77D5058D  |.  8BEC           mov     ebp, esp
77D5058F  |.  833D BC04D777 >cmp     dword ptr [77D704BC], 0
77D50596  |.  74 24          je      short 77D505BC
77D50598  |.  64:A1 18000000 mov     eax, dword ptr fs:[18]