程序流程在刚刚跳转的时候，内核API并没有执行完，而我们的函数需要根据其结果来进行信息过滤，所以我们需要保证内核API能在顺利执行完毕后返回到我们的函数中来，这就要求对当前堆栈做一个调整。关于这部分指令的执行，一般是将其放在我们的函数中，让我们的函数“帮助”内核API执行完被覆盖的指令，然后再跳回内核API中被覆盖内后后的地址继续执行剩余内容。跳回去的时候，一定要算好是跳回到什么地址，是内核API起始地址后的第几个字节。这个就不用多说了，内核API顺利执行并返回到我们的函数中，我们自然要根据其结果做一些信息过滤，这部分内容因被hook的API以及Hook目的的不同而不同。
暂无评论