关于inline hook中函数地址计算的理解

// MyFuncAddr = destFunc的实际地址
MyFuncAddr = *(ULONG *)((BYTE *)destFunc+1) + (ULONG)destFunc + 5;

有如上一段计算函数实际地址的代码。查了N多资料以后。。。。。。终于明白了

在debug版本的函数调用和Win32 API调用中,call指令后面跟的不是真正函数体的地址,而是一段jmp跳转指令,而且是近转移。

e9 8b 05 00 00

所以destFunc向后偏一个字节,再转成ULONG指针取地址就会得到这一段的JMP的偏移地址,再加上JMP代码本身的地址和JMP代码长度就会得到目标函数的真实地址。


不知道debug版本和Win32 API要这么处理函数调用~~求高手解答

你可能感兴趣的:(安全相关)