如何hook小于5个字节的地址

Luna0611

反汇编代码：
666F8E2F    C3              retn
666F8E30    8B41 18         mov eax,dword ptr ds:[ecx+0x18]
666F8E33    50              push eax                                 
666F8E34    8B48 14         mov ecx,dword ptr ds:[eax+0x14]         
666F8E37    0348 0C         add ecx,dword ptr ds:[eax+0xC]
666F8E3A    8B40 10         mov eax,dword ptr ds:[eax+0x10]
666F8E3D    FFD0            call eax                                 ; 就是这里了
666F8E3F    C3              retn
666F8E40    55              push ebp
666F8E41    8BEC            mov ebp,esp
666F8E43    83EC 38         sub esp,0x38

现在需要hook 666F8E3D位置，但是这个位置只有两个字节。hook函数的参数特别提醒了，hook的地址不能小于5：

.参数 指令地址, 整数型, , 欲HOOK的指令地址,该地址必须真实有效
.参数 回调函数, 整数型, , 回调函数(寄存器) 返回-1放行,0阻止并处理ebp和esp(只适合在func入口Hook),>65535时重置返回结果为eip运行
.参数 指令长度, 整数型, 可空, 指令长度需 ≥ 5 ,留空则撤消对某指令地址的HOOK



之前的hook一直都是5个字节的call，现在这个有没有啥办法呢？

凌哥

往下覆盖汇编指令就好了，然后记录一下覆盖的指令，jmp到你自己的函数后 在函数尾 把覆盖的指令执行一下完事

南风知意

1.附件找个合适地址做个短跳转，再长跳到回调函数
2.hook前面的地址，修复指令即可

谁的坏叔叔

直接把上面三个字节带进去

asd9988

HOOK 这里

[JavaScript] 纯文本查看 复制代码

666F8E2F    C3              retn
666F8E30    8B41 18         mov eax,dword ptr ds:[ecx+0x18]
666F8E33    50              push eax                                 
666F8E34    8B48 14         mov ecx,dword ptr ds:[eax+0x14]         
666F8E37    0348 0C         add ecx,dword ptr ds:[eax+0xC]
666F8E3A    8B40 10         mov eax,dword ptr ds:[eax+0x10] ;<--------- HOOK这里，里面加上这句话就行了,
666F8E3D    FFD0            call eax                                
666F8E3F    C3              retn
666F8E40    55              push ebp
666F8E41    8BEC            mov ebp,esp
666F8E43    83EC 38         sub esp,0x38

//里面这么写：
mov eax,dword ptr ds:[eax+0x10]
call eax
//写你的代码..blabla..

Luna0611

asd9988 发表于 2022-11-6 20:58
HOOK 这里

[JavaScript] 纯文本查看 复制代码

666F8E2F    C3              retn
666F8E30    8B41 18          ...

[mw_shl_code=javascript,true]' hook 666F8E3D ' Hook (集_VXjz ＋ 十六进制 (“598E3D”), 取子程序真实地址 (&HOOK_消息回调), 5) ' hook 666F8E3A Hook (集_VXjz ＋ 十六进制 (“598E3A”), 取子程序真实地址 (&HOOK_消息回调), 5) .子程序 HOOK_消息回调, 整数型 ' mov eax,dword ptr ds:[eax+0x10] 置入代码 ({ 139, 64, 16 }) '------------- '收到消息后会弹出信息框，但是关闭信息框后崩溃 ' mov eax,dword ptr ds:[eax+0x10] ' call eax ' 置入代码 ({ 139, 64, 16, 255, 208 }) '收到消息后就崩溃了 信息框 (“我被hook了”, 0, , ) 返回 (-1)


我试了一下您的说的，VX崩溃了。 我把我试的两种情况都贴出来，麻烦您再给看下。

Luna0611

asd9988 发表于 2022-11-6 20:58
HOOK 这里
[mw_shl_code=javascript,true]666F8E2F    C3              retn
666F8E30    8B41 18          ...

' hook 666F8E3D
' Hook (集_wxjz ＋ 十六进制 (“598E3D”), 取子程序真实地址 (&HOOK_消息回调), 5)

' hook 666F8E3A
Hook (集_wxjz ＋ 十六进制 (“598E3A”), 取子程序真实地址 (&HOOK_消息回调), 5)



.子程序 HOOK_消息回调, 整数型

' mov eax,dword ptr ds:[eax+0x10]
置入代码 ({ 139, 64, 16 })
'-------------
'1、收到消息后会弹出信息框，但是关闭信息框后崩溃

' mov eax,dword ptr ds:[eax+0x10]
' call eax
' 置入代码 ({ 139, 64, 16, 255, 208 })
'2、收到消息后就崩溃了

信息框 (“我被hook了”, 0, , )
返回 (-1)

我试了两种方式，wx都还会崩溃

xyts022618

没有5个就向前或者向后凑够5个字节就完了，比如从666f8e3a这里开始选
666F8E3A    8B40 10         mov eax,dword ptr ds:[eax+0x10]
666F8E3D    FFD0            call eax   

Luna0611

xyts022618 发表于 2022-11-6 21:43
没有5个就向前或者向后凑够5个字节就完了，比如从666f8e3a这里开始选
666F8E3A    8B40 10         mov eax ...

' hook 666F8E3D
' Hook (集_wxjz ＋ 十六进制 (“598E3D”), 取子程序真实地址 (&HOOK_消息回调), 5)

' hook 666F8E3A
Hook (集_wxjz ＋ 十六进制 (“598E3A”), 取子程序真实地址 (&HOOK_消息回调), 5)



.子程序 HOOK_消息回调, 整数型

' mov eax,dword ptr ds:[eax+0x10]
置入代码 ({ 139, 64, 16 })
'-------------
'1、收到消息后会弹出信息框，但是关闭信息框后崩溃

' mov eax,dword ptr ds:[eax+0x10]
' call eax
' 置入代码 ({ 139, 64, 16, 255, 208 })
'2、收到消息后就崩溃了

信息框 (“我被hook了”, 0, , )
返回 (-1)

我向上试了两种方式，但是不知道怎么去补被占用的，那一行代码，hook之后就崩溃了。

asd9988

我似乎可以理解成里面的那个子程序回调里面有东西,(易语言在编译头文件的情况下,会导致这种问题似乎)
本来你的理想方案是：
hook->hook的子程序 (开头就是 mov eax,dword ptr ds:[eax+0x10])

但是实际上可能是  hook->hook的子程序 (开头是 push ebp mov esp,ebp)
做一个修改吧

补充内容 (2022-11-7 08:59):
不过既然能唤起框，可能有啥地方写错了，看看错在哪一行，用CE或者信息框来调试

补充内容 (2022-11-7 09:02):
而且看了一下似乎你用了2次置入代码?