c++ - 在内联汇编中调用函数时如何保留堆栈？

Question

我有一个执行内联汇编的钩子(Hook)函数:

__declspec(naked) int hookConnect()
{
    __asm
    {
        pushad;
        pushfd;

        push [esp + 0x2C];
        pop sockAddrBackup;

        push[esp + 0x2C];
        push[esp + 0x2C];
        call mConnect;

        popfd;
        popad;

        call connectTramp;

        ret;
    }
}

它保存寄存器和标志。然后将其中一个 args 保存到一个变量，最后压入 2 个 args 并调用我的自定义函数，它只记录 args。

之后，它恢复寄存器、标志。这时候我想给蹦床打电话:

蹦床:

5 original bytes  
jmp (original func + 5 bytes)

它执行前 5 个字节，跳转到原始 func 并执行它，然后返回到我的钩子(Hook)函数。

此时，我想返回到原来func的调用者，但是因为leave是在函数结束时调用的，所以会破坏堆栈？

如何在执行过程中保留堆栈？调用前保存返回地址？

Answer 1

通过调用 trampoline，您将在原始参数上方放置另一个堆栈帧，这意味着它们不在原始代码期望找到它们的位置(堆栈上有两个返回地址，而不是一个)。

你必须要么

1. 跳到蹦床(你的钩子(Hook)不会有结语)

或

1. 在调用 trampoline 之前将原始参数复制到堆栈上，并在返回后清理它们，注意保留返回值。