首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
跟踪NtUserGetMessage的疑惑
发表于: 2005-4-27 10:48 6792

跟踪NtUserGetMessage的疑惑

xxyifan 活跃值
2005-4-27 10:48
6792
系统:Win2k SP4

通过KeServiceDecriptorTableShadow找到了GetMessage的内核函数,也即NtUserGetMessage,这个函数的参数跟用户态的GetMessage是一样的.
在函数入口处开始跟,一直到leave,传入的参数都没有变化,但是到最后一条指令:
          ret 10h
过去之后,堆栈恢复到调用前的位置,但是传入的参数竟然被改变了!虽然这部分现在已经出了栈,但是一条ret指令,又是怎样修改它的值呢?

请大家指教,谢谢!

[培训]科锐逆向工程师培训第53期2025年7月8日开班！

收藏
免费 ・0
支持
分享
最新回复 (1)
xxyifan
雪    币： 184
活跃值： (50)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
补充一下,在Win2k SP4环境,NtUserGetMessage的服务号是119ah,其入口地址是存放在第二个ServiceTable的19a*4的位置,值为0a00034d5.
2005-4-27 11:24
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回