[原创]WIN64上一种只需修改函数6个字节的INLINE HOOK方法

Tesla.Angela

我在教程里，公布了一种修改函数14个字节的INLINE HOOK方法。不得不说，这是一种很糟糕的HOOK法，因为需要太多空间了。这样子甚至难以实现安全HOOK，因为InterlockExchange系列函数顶多能一次性修改8个字节。

其实稍微改造一下代码，即可实现修改函数6字节的HOOK法。

以KeQueryPerformanceCounter为例，看看此函数头之前是什么样子的：

1. lkd> u hal!kequeryperformancecounter-8
   
2. hal!HalpScaleQueryPerformanceCounter+0x40:
   
3. fffff800`01e0a6ec 90              nop
   
4. fffff800`01e0a6ed 90              nop
   
5. fffff800`01e0a6ee 90              nop
   
6. fffff800`01e0a6ef 90              nop
   
7. fffff800`01e0a6f0 90              nop
   
8. fffff800`01e0a6f1 90              nop
   
9. fffff800`01e0a6f2 90              nop
   
10. fffff800`01e0a6f3 90              nop

复制代码

前面是8个NOP，正好足够放下一个64位的地址。那么思路就是：

游客，如果您要查看本帖隐藏内容请回复

具体实现的代码就自己动手写吧。

850390626

哈哈，学习一下

yhcyhy2010

学习了

rkq1991

支持一下。。看下6字节的inlinehook

马大哈

{:soso_e179:}看见汇编头就痛啊

mlyknown

thanks。学习了

Tesla.Angela

mlyknown 发表于 2014-8-18 11:19
thanks。学习了

你的鼠标发疯了么？一连发了10个贴。。。

mlyknown

Tesla.Angela 发表于 2014-8-18 13:58
你的鼠标发疯了么？一连发了10个贴。。。

。。。论坛有时候卡的很，一下谈不出来，可能多点了吧

qq569582281

看看看看楼主的方法