Win32API起始处的mov edi, edi与用户空间InlineHook
摘要：
在x86平台上，无论是在调试器中跟到系统DLL中时，还是反汇编某个系统DLL时，经常会发现很多API的第一条汇编指令都是mov edi, edi。根据经验来讲，C函数的汇编形式，应该是首先push ebp保存原始栈顶，然后mov ebp, esp构造新的栈帧，接下来sub esp, 0nnh分配局部... 阅读全文
posted @ 2014-09-29 15:22 孤影对酌 阅读(2189) 评论(0) 推荐(3) 编辑
