函数调用之mov edi, edi_mov edi, edi push ebp mov ebp, esp

作者：煮酒与君饮 | 2024-06-21 21:11:19

踩

mov edi, edi push ebp mov ebp, esp

很多函数前面几个指令都是下面这样：
mov     edi, edi
push    ebp
mov     ebp, esp

第一行指令，是不是没用呢？

你还会在上面发现5个没用的nop

这样的做法是方便做hook，比如你要挂钩这个函数，你可以用一个2字节的短jmp（eb xx）转移到那5个nop那里，然后在那5个nop那里做一个大的jmp(e9 xx xx xx xx) 跳到任意地址完成你的jmp

至于为什么是mov edi,edi而不是2个nop，因为mov edi,edi比2个nop执行起来快

-------------------------------------------
补充一下，这样做还可以防止多线程引起的意外，比如是2个nop或者不用这种方法直接修改5个字节来hook的话，有可能引起这样的问题。在你修改了其中一部分，而剩下的那部分未完成的情况下，另一个线程执行到了这里，就会因为错误的代码导致程序崩溃或者产生预期之外的结果。

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/煮酒与君饮/article/detail/744260