文档介绍：用作坊模块写CALL的经验之谈
大家在使用模块写CALL时,对于参数方面很容易搞错了,这里我给大家简单讲解一下要注意的事项与经验.
正确的汇编代码是
mov eax,0xA3EE20
mov eax,[eax]
mov写起来方便些.
你的想法是对的,模块中的调用函数() 与 CALL() 这两个功能只是为了简化一些事情,但简化的同时难免会失去一些灵活性,比如有大量的MOV或其它的汇编指令操作时.
此时就该使用模块里的调用机器码() 调用函数() 与 CALL() 都是建立在调用机器码() 功能上的.
假如大家用汇编模块来写,那每一句都要进行翻译转换,就会浪费CPU资源,若这类的操作太多太频繁,会使挂变得卡起来.
,
调用机器码() 执行即可.
在OD里写好汇编代码后,选择这一段,右键复制出汇编代码,粘在易源代码里,OD再右键二进制->二进制复制出来机器码也粘在易源代码里作备注用.
然后就可以写代码调用机器码()来执行这段复制来的二进制代码即可.
调用机器码 (进程句柄, 十六进制到字节集 (“B8 20 EE A3 00 8B 00 8B 88 78 01 00 00 8B 11 6A 00 6A 03 6A 07 FF 92 D0 01 00 00”))
当然每次都用十六进制到字节集进行转换也是件麻烦事,大家可以先转换好,再填入字节集机器码指令即可
调用机器码 (进程句柄, { 184, 32, 238, 163, 0, 139, 0, 139, 136, 120, 1, 0, 0, 139, 17, 106, 0, 106, 3, 106, 7, 255, 146, 208, 1, 0, 0 })
使用机器码有什么需要注意的呢?第一要注意的是不需要写如下格式的
push ebp
mov ebp, esp
mov esp, ebp
pop ebp
retn
或者
pushad
pushfd
popfd
popad
因为模块的调用机器码会自动追加上了这些指令,若你再加上就成了重复了,反而会引起问题来.

jmp 0x00401000
call 0x00401000
对于这类的指令要改成间接寻址才行,可以修改成
mov eax,0x00401000
jmp eax
假如不想用寄存器进行间接寻址,可以改成如
mov [esp-4],0x00401000
jmp [esp-4]
,.
除以上问题外,调用机器码(),又可以进行简化一下,变成如下图
如上图,三个要PUSH入栈的参数不写在OD里,而是做为调用机器码的参数传入,同时对于EAX最先要读取的内存地址,也用来传入了..
这里需要注意的是,在OD里不是写CALL,而是