用inline和exit(0)连成一句话

点击联系发帖人 时间：2020-04-18 03:29

exit(0)

}

本文档的CopyRight归jonathan所有可自由转载，轉载时请保持文档的完整性

Hook多年不搞了，总认为是上不了台面的技术但是由于产品的需要没有办法，还是要弄一弄

本文中重点描述┅下Linux的函数Hook中注意的关键点。

Hook两个字描述：劫持

对于目标是对象就是对象HOOK；对于目标是函数，就叫Inline Hook；对于目标是IAT,就叫IAT Hook.

对于函数HOOK要能够跳转到劫持函数中，再跳转原函数如何跳转，使用什么指令其实方法很多，最多就是使用jmp因为简单。如果使用call也可以还需要自己維护call产生的栈问题。

当然插入HOOK点理论上可以在函数任何位置，但是要保障插入HOOK点前后指令的完整性现在disassembler库也很多，都不是难题

此处紸意call的分解：push 返回地址；jmp 目标地址。因此在HOOK函数返回时注意平衡堆栈，特别时使用jmp方式返回

3.1 内存要可写可检查CR0寄存器中的WP位

3.2 处理好堆棧平衡

3.3 原子操作，特别是多cpu情况

这里以do_exit(0)为例do_exit(0)函数是导出函数，所以可以直接获取函数地址；对于非导出函数则需要相关函数查找地址。现在假设do_exit(0)未导出

为了找到非导出函数地址，需要在内存中找特征码但是对于要搜寻的函数空间也有两点要求：

具体就不用多说了，看看2中原理对照一下上面红色字体部分就明白了。

为何先pushl其后面语句也是push ebx？你自己来思考了这里有小弯 */

}