目录
- x64下手工HOOK的方法
- 一丶HOOK的几种方法之远跳
- 1. 远跳 不影响寄存器 + 15字节方法
- 2.远跳 影响寄存器 + 12字节方法
- 3.影响寄存器,恢复寄存器 进行跳转.
- 4. 常用 jmp + rip方式跳转 大小6个字节
- 二丶Call的几种方式.
- 1. CALL PUSH + RET 方式
- 2.正常call
- 一丶HOOK的几种方法之远跳
x64下手工HOOK的方法
关于64位程序.网上HOOK方法一大堆.这里也记录一下. 了解跨平台HOOK的真相与本质.
一丶HOOK的几种方法之远跳
1. 远跳 不影响寄存器 + 15字节方法
在64位下 HOOK有几种方法. 一种是影响寄存器的值.另一种是不影响寄存器的值.各有优劣.
第一种: 不影响寄存器的值 硬编码占用大小为15个字节.
原理: 利用push + ret的原理. 让HOOK的位置跳转为我们的地址.
push 函数低地址(8个字节)
mov qword ptr ss:[rsp + 4],函数高地址(8个字节,不过高4个字节一般都是0所以可以不用给)
ret硬编码:
68 XX XX XX XX push LowAddress
48 C7 44 24 04 XX XX XX XX mov qword ptr ss:[rsp + 4],HighAddress
C3 ret其中XX的地方可以换成我们的地址.
2.远跳 影响寄存器 + 12字节方法
这一种方法则会影响寄存器的值.
原理: 利用 rax + jmp的方式进行跳转.
mov rax,Address
Jmp rax硬编码
48 B8 XX XX XX XX XX XX XX XX FF E0 截图:
这里需要注意的是地址的大小尾模式. 填写一定不要写错.
3.影响寄存器,恢复寄存器 进行跳转.
这种方法其实是第二种方法的演变. 第二种我们会直接修改rax为我们的地址.其实我们可以利用堆栈进行保存.
原理: rax + jmp + push 进行恢复还原
push reg
mov reg,address
jmp reg
pop reg
reg代表的就是任意寄存器. 如果使用这个方法可以有效地保存寄存器进行HOOK.跳转回来的时候进行还原即可.
这里的硬编码不确定.因为 push reg 与 pop reg 跟你使用的寄存器有关.
4. 常用 jmp + rip方式跳转 大小6个字节
在64位程序中. 可以使用rip寄存器了. 而32位不可以.32位下想要改变 eip的值. 无非就是 jmp + call才可以改变.64位可以使用
原理: jmp + rip 进行寻址. 进行跳转
jmp qword ptr ds:[rip]
数据地址这种方法就是 对rip + (指令长度)这个寄存器取内容 把里面的数据当做地址进行跳转. 所以当使用这个方式的时候.我们的下方跟着八个字节数据即可. 这个数据就是你要跳转的地址.
如下:
它会把下面八个字节数据当做地址进行跳转.
这时候有人说了.你这不是6字节跳转呀.下面要跟着8个字节. 所以这里说一下.
使用这种方法. 在rip的下面不一定要跟着就是数据. 我们可以修改偏移进行跳转.
什么意思. 现在我们是 jmp qword ptr ds:[rip] ,代表了我们要在当前rip的下方取8个字节当做地址跳转. 那么我们也可以写成 jmp qword ptr ds:[rip + x];
x就是任意数. 把这个偏移下的8个字节去内容当做地址去跳转.
关于偏移 计算公式其实还是一样. 目的地址 - 源地址 - 指令长度.
如下:
比如我们从第一条指令 进行偏移跳转. 把图中红框内容当做8个字节数据进行跳转.
那么可以写成如下:
目的地址(红框地址,0x7FFF12A51228) - 源地址(7FFF12A511Dd) - 指令长度(6)
指令长度为什么是6.因为我们第一行指令是 jmp qword ptr ds:[rip] 只不过我们现在还没写. 我们得出的偏移放到第一行中的偏移..
现在得出的偏移为 0x45 这个45我们就可以填写到偏移中.
现在 0x7FFF12A51228 红框地址是我们的数据.只需要在这里写入8个字节地址即可.
如下图:
如上图可以看到,第一个红框 FF 25 45 00 00 00 这个45就是我们算的偏移.
意思就是在 rip + 45位置,读取8个字节数据当做地址进行跳转. 然后 228地址我们写入了8个字节数据. 数据的地址 后缀为1EC的地址. 所以看上图,我们的RIP已经跳转过去了.
注意,因为 rip的寻址偏移只能是上下2GB 也就是你的偏移不要超过2G位置即可.
二丶Call的几种方式.
1. CALL PUSH + RET 方式
这种方式跟上方的push + ret原理类似.
call Next
Next:
push lowAddress;
mov [rsp + 4],highAddress
ret
这种方式就是取得下一行指令, 下一行指令入栈. 然后继续push + ret 进行跳转.
2.正常call
这种call 没有试过. 原理跟上面一样. 硬编码 E8 偏移 的方式调用
call youAddress
硬编码为: E8 XX XX XX XX xx代表偏移. 偏移计算公式还是 目的 - 源 - 5(指令长度)
但是是上下2GB
其他待整理
原文地址：https://www.cnblogs.com/iBinary/p/11334793.html