计算跳床钩子的JMP指令地址

文章/答案/技术大牛

发布

1回答

c++、c、assembly、x86、memory-address

我正在尝试计算从一条指令到另一条指令的相对地址偏移量。我理解基本的计算，以及为什么我必须-5 (以满足jmp的大小和指令的大小) (Calculating JMP instruction's address) 问题是，如果我不想跳到代码的开头，而是跳到代码后面的一些特定指令例如： original function 我想要JMP

浏览 15提问于2021-07-02得票数 3

回答已采纳

1回答

吊钩在跳床后坠落

c++、hook、reverse-engineering

我正在尝试创建一种我玩的游戏的覆盖，以便实时显示我的ping，因为有很多问题，人们指责ping，所以我只想要一个简单的解决方案，并在游戏中添加实时ping显示:)void* detour::Hook(BYTE* src, BYTE* dst, int lentrampoline的<

浏览 0提问于2014-11-04得票数 2

1回答

为什么通过原始指针调用绕道函数行得通？

detours

// 37_TEXT ENDS据我所知，Microsoft detour将通过用jmp替换一些第一个汇编指令来绕过(CreateFileW())函数来改变目标函数的实现(这将被绕过(钩子))。它还创建了跳床函数，如果我们想要调用CreateFileW的非绕道实现，应该调用该函数。在第4行和第9行(通过注释单独列出)

浏览 5提问于2020-07-14得票数 0

1回答

jmp指令*%eax

assembly、x86、att

在Google的论文中，作者将nacljmp定义为以下两个指令：jmp *%eax然而，星号在%eax之前意味着什么？我搜索了许多关于x86程序集的教程，但没有太多的运气。

浏览 2提问于2015-06-12得票数 5

回答已采纳

1回答

一个来自的问题。我被要求输入一些攻击代码，足够长的时间来破坏堆栈。在第2阶段，我需要首先更改名为global_value的全局变量的值，然后调用一个名为邦的函数。但是，只有当我将bang的地址推入堆栈，然后返回时，它才能工作。0x12345678 is the address of bang */ret#codes before set the value of global_value jmp这与模

浏览 0提问于2013-03-24得票数 0

回答已采纳

2回答

EIP寄存器值超过100个字节。

assembly、x86、byte、cpu-registers、eip

嘿，我很难解决我的家庭作业。据我所知，EIP是我们不能使用的特例寄存器。它被称为扩展指令指针。要将它的值增加到100字节以上，我们需要找到每个命令给EIP值增加了多少？

浏览 2提问于2020-01-15得票数 1

2回答

如何为钩子创建一个弹床函数

c++、winapi、hook、tramp、trampolines

我对钩子很感兴趣，我决定看看我是否能钩住一些函数。通过我在互联网上找到的一些资源，我能够创建下面的代码。这是基本的，但它工作得很好。但是，当挂钩由多个线程调用的函数时，它被证明是非常不稳定的。经过一些研究后，我认为我需要创建一个弹床功能。如果有人能帮我写一篇文章，发布一些资源，或者至少通过推荐一些文章，网站，书籍等给我指出正确的方向，我将非常感激。 bool Hook::setHookAtAddress(void* funcPt

浏览 16提问于2012-02-18得票数 14

1回答

为什么分支指令比跳转指令快？

assembly、avr

查看，我注意到分支指令如果执行需要2个周期，如果不执行则需要1个周期，而跳转指令需要3个周期。为什么会这样呢？

浏览 4提问于2014-06-24得票数 2

回答已采纳

4回答

计算JMP指令的地址

assembly、x86、memory-address

我试图通过将函数的开头替换为应该指向我的函数的JMP指令来挂接函数。但问题是，我不知道如何计算JMP偏移量来定位我的函数的地址。嗯，我知道如果你在内存中向前跳转(目标地址-当前地址)该怎么做，但我不知道当你在内存中向后跳转时如何确定它。有人能帮帮忙吗？

浏览 0提问于2011-09-30得票数 2

2回答

在ASM中直接调用/跳转，而不使用相关性(X86)

assembly、dll、x86

我正在将一个c++动态链接库注入到一个游戏中，并且我想把一个函数挂接到我自己的一些代码上。由于DLL每次都映射到不同的位置，因此使用直接跳转和调用会更容易。另外，因为这是一个钩子，所以当我返回到函数时，我不想更改堆栈或寄存器。我声明一个char*来存储Asm，这样我就有一个指向它的指针。我尝试过使用FF和EA进行调用和跳转，但我想我只是不明白它们是如何工作的。当我使用它们时，我注意到我现在的操作中有一个冒号。JMP FAR FWORD PTR DS:[00000000

浏览 2提问于2011-02-15得票数 3

回答已采纳

2回答

指向函数的指针指向c#中的jmp指令。

c、function-pointers、disassembly

我查看了c代码的反汇编，发现指向函数的指针实际上指向jmp指令，而不是指向内存中函数的真正开始(不指向代表函数帧开始的push ebp指令)。); 我查看了代码的反汇编，发现打印的地址是汇编代码中jmp指令的地址。我想要获取代表函数帧开始的地址。有没有办法从jmp指令

浏览 5提问于2018-02-05得票数 0

3回答

如何在x86中编码相对较短的jmp

assembly、x86、x86-64

假设我想使用以下操作代码进行短距离跳转：跳跃短，RIP = RIP +8位位移符号扩展到64位eb e2 =JMP0xffffe 4 (-30) 因为fe +2是00或 EIP ，所以EIP可以有意地保持相

浏览 7提问于2013-02-15得票数 19

回答已采纳

1回答

为什么GDB和不同的汇编程序会给出不同和错误的jmp地址？

c、assembly、x86、gdb

我想在C代码中运行这个程序集jmp 0x8048540，以运行一个位于内存地址0x8048540的函数。但我有塞格的错。我决定看看我哪里出错了..。第一题:为什么地址与我的预期地址不同，彼此之间又如此不同？他们都应该给出x86的操作码。尽管如此，我还是决定使用rasm2 2的操作码。然后，我注意到GDB里有些奇怪的东西。内存地址中的值与rasm2提供的字符串文本

浏览 4提问于2017-11-09得票数 1

回答已采纳

2回答

不带Detours的API挂钩

c++、dll、64-bit、hook

大部分的out似乎都是在32位Windows是唯一的操作系统的时候编写的.从那以后，我克服了理解的64位障碍，成功地注入了一个DLL。我在这个知识之旅的下一个步骤是联系。BeginRedirect(LPVOID newFunction) BYTE tempJMP[SIZE] = {0xE9, 0x90, 0x90, 0x90, 0x90, 0xC3}; memcpy(JMPPAGE_EXECUTE_READWRITE, &oldProtect

浏览 5提问于2012-01-24得票数 6

2回答

JMP直接和带有寄存器eax的JMP有什么区别？

assembly、x86

我有一个C函数A()，其地址是0x2807fc。我试着调用A()，它跳转到了我所期望的A()但我试过这个，这是错误的。为什么？我只是有点困惑。$0xc,%esp ..........我有一个函数，它的地址是然后是我的ASM代码和关于JMP的二进制代码(我想跳转到这个函

浏览 8提问于2017-05-06得票数 0

回答已采纳

2回答

DEC PDP 8上的间接方向

assembly

我发现它非常有用，我想知道在8086上使用了什么技术来产生相同的结果，或者指示什么取代了它。

浏览 2提问于2015-05-17得票数 2

回答已采纳

1回答

热修补A函数

c、winapi、assembly、reverse-engineering

我正在尝试在内存中热修补一个exe，源代码是可用的，但我这样做是为了学习目的。(因此，请不要评论建议我修改原始源代码或使用弯路或任何其他库) uint32_t offset = 0x00477C3E - (uint32_t)&VM_Create; //find the offsetof the original function from our own memset((void*)jmp, 0x

浏览 0提问于2011-11-11得票数 4

回答已采纳

1回答

在windows文件中计算jmp从一个段到另一个段

x86-64、reverse-engineering、portable-executable、ida

假设我的磁盘上有一个二进制文件，使用VirtualAlloc和ReadFile加载到内存中。示例：跳转到seg007节 seg007:00

浏览 23提问于2022-10-30得票数 0

1回答

近/远jmp/呼叫细节

assembly、x86、real-mode、memory-segmentation

我无法完全掌握jmp/call的远/近版本的细节。据我所知，jmp/call指令使用指令本身的相对偏移量作为操作数。Far jmp/call指令使用绝对地址作为操作数。1)在受保护模式下，这个绝对地址只是编译器放置的虚拟地址。2)在实际模式中，您通常会写： jmp [new number of code s

浏览 1提问于2013-10-28得票数 1

1回答

如何解释跳远FF组装指令？

assembly、x86-64

如果我调用A a; a.foo() -编译器生成Call指令FF 10，这将导致近跳指令E9 01 02 03 04.最后4个字节-从vtable记录到实函数的相对偏移量。这是相当明显和明确的。但是如果我调用B b; b.foo() -- Call指令导致另一种跳FF 25。]00007FFA4AD05885 E

浏览 5提问于2022-08-18得票数 1

点击加载更多