如何使用 ASM 将 FARPROC 的内存地址移动到另一个函数？

Posted 2023-02-17

【中文标题】如何使用 ASM 将 FARPROC 的内存地址移动到另一个函数？

【英文标题】：How do I move a FARPROC's memory address to another Function using ASM?

【发布时间】：2013-03-07 16:55:52

【问题描述】：

我有 2 个 FARPROC，我想使用 ASM 将其中一个的地址替换为另一个。

什么是 FARPROC？ "[int (FAR WINAPI * FARPROC) () ] 在 C 中，FARPROC 声明表示具有未指定参数列表的回调函数。然而，在 C++ 中，声明中的空参数列表表示函数没有参数。这细微的区别可能会破坏粗心的代码。以下是处理这种情况的一种方法："

现在已经涵盖了，这是我的代码：

  HMODULE h = LoadLibrary("myDLL.dll");
  FARPROC p = GetProcAddress(h, "_GetHelloMessage@0");

  if(!p) MessageBox(hwnd, "injected, but function not found", "Loader", NULL);

  HMODULE dllHmodule = GetModuleHandle("InjectFunctions.dll");
  FARPROC injproc = GetProcAddress(dllHmodule, "_GetHelloMessage@0");

  if(!injproc) MessageBox(hwnd, "injproc is null", "Loader", NULL);

  __asm
        mov eax, p
        ADD injproc [EAX],8
    

我的问题是我该如何做到这一点，所以每当加载此 DLL 的程序调用 p 时，它会改为调用 injproc？

【问题讨论】：

听起来你正在尝试做一些恶意的事情:)

知道如何做这些事情不是恶意的，只是将这些东西用于邪恶，我打算不这样做:)

【参考方案1】：

外部 DLL 中的每个引用函数都在可执行文件头区域的导入地址表中获得一个条目。该条目的一部分是函数的地址。这就是您修补以使呼叫转到其他地方的方法。应该有很多关于如何在开放的互联网上执行此操作的示例，尽管我碰巧没有方便的链接。

如果您想自己执行此操作，请从 msdn 下载 Portable Executable 规范以查看这些标头的格式。