¿Cómo ver los parámetros de la función de salida dll?
1. Primero abra la DLL que necesita ser analizada y luego use la función de menú - "Exportar para encontrar la función que necesita ser analizada" y doble-. haga clic en la función. Esta función se puede ubicar directamente.
2. Mire la entrada de la función. Generalmente, las funciones utilizan el siguiente código como entrada.
push ebp
mov ebp, esp
3. Encuentra la salida de la función Generalmente, la salida de la función tiene la siguiente declaración.
ret xxxx;//donde xxxx es la diferencia entre todos los bytes de la función. Para múltiplos de 4, xxxx se divide entre 4 para obtener el resultado
Es el número de. parámetros.
Ubicación de almacenamiento de parámetros:
ebp+08 //Primer parámetro
ebp+0C //Segundo parámetro
ebp+10 / /El tercer parámetro
ebp+14 //El cuarto parámetro
ebp+18 //El quinto parámetro
ebp+ 1C //El sexto parámetro p>
. . . .
------------------------------------------- --
Otra llamada común:
sub esp,xxxx //Parte inicial
//Contenido de la función
.
//El contenido de la función
agregar esp,xxxx
ret //parte final
El resultado de xxxx/4 También es un número de parámetro.
------------------------------------------- -- ------
Existe otro método de llamada:
Debido a que la función es relativamente simple y no existe un proceso de apilamiento de parámetros,
donde
esp+04 es el primer parámetro
esp+08 es el segundo parámetro
.
esp+xx es el xx/4º parámetro
Se dice que el número máximo de xx que se puede ver dividido por 4 es el número de parámetros pasados a la función.
------------------------------------------- -- ---
Según dónde nos encontremos ahora, debería quedar claro cuántos parámetros se pasan. En cuanto a lo que se está aprobando, es necesario un mayor análisis. La forma más conveniente es descubrir primero el software que llama a esta función y luego utilizar técnicas de depuración para averiguar dónde se llama la función. Los parámetros generalmente se pasan a través de la instrucción PUSH. En este punto, puede ver lo que se insertó en la pila. En términos generales, si el parámetro es un número entero, puede saberlo de un vistazo. Si es una cadena, es relativamente simple. puedes verlo.