如何使用 int3（VEH 或 SEH）

Question

知道我想用jmp 替换function prologue 以跳转到我的分配区域（VirtualAllocateEx）。但是function prologue 只有 3 个字节，jmp 有 5 个字节。 像这样：

55                 `push ebp`  

8B EC              `mov ebp, esp`

833D C4354200 02   `cmp dword ptr ds:[4235C4],2`

E9 AD00000000  `jmp` 00140000 // replace above three instructions

如果我想用jmp覆盖函数序言，必须覆盖函数序言之后的第三条指令。

所以知道我想用 int3 代替函数序言来跳转到我的分配区域或任何地址，我该怎么做？

我尝试使用 VEH 或 SEH 来实现，但我不知道如何制作。

Answer 1

你需要将原始代码（你引用的那个）写在另一个内存位置（只是分配一些东西）。

在为其他操作码（您的自定义新代码）节省一些空间的同时编写它。 它不必完全适合你被允许用 NOP 填充未使用的字节（如果我没记错的话，是 0x90）。

现在，从原始代码跳转到此代码。

几年前我在做游戏教练的时候一直在做这件事。效果很好。

注意事项：您重写的代码最后应该跳回原始位置以继续代码流。

如果不清楚，请告诉我。