Перехват функции и stack pointer

[coNsept]

Доброго времени суток Уважаемые программисты, вообщем проблема у меня следующая и я не совсем могу понять как ее можно решить, просто не сталкивался с таким. Вообщем имеется откомпилированное PE приложение, исходного кода собственно не имеется, поэтому немного pure assembler. Для начала покажу некую функцию которая принимает 4 аргумента.

CPU Disasm
Address   Hex dump          Command                                  Comments
00688589  |.  55            ||PUSH EBP                               ; /Arg4
0068858A  |.  57            ||PUSH EDI                               ; |Arg3
0068858B  |.  56            ||PUSH ESI                               ; |Arg2
0068858C  |.  50            ||PUSH EAX                               ; |Arg1 => [LOCAL.3691]
0068858D  |.  E8 3E5B0000   ||CALL 0068E0D0                          ; \Main2.0068E0D0

Прототип данной функции имеет следующий вид

int __cdecl ProtocolCore(int protoNum, PBYTE lpMsg, int Len, int Flag);

Собственно объявим указатель на данную функцию чтобы потом трамплинить на нее.

typedef int (__сdecl *pProtocolCore)(int protoNum, PBYTE lpMsg, int Len, int Flag);
pProtocolCore ProtocolCoreEx = (pProtocolCore)PROTOCOL_CORE;

PROTOCOL_CORE это адрес вызываемой функции, то есть адрес на CALL 0xXXXXXX
Библиотекой дэтаур реализуем трамплин на фейк функцию, выполним определенные действия и вернем управление оригинальной функции.

BOOL APIENTRY DllMain(HINSTANCE hInst, DWORD dwReason, LPVOID lpReserved) 
{
 switch(dwReason)
 {	
 case DLL_PROCESS_ATTACH: 
  {
    DisableThreadLibraryCalls(hInst);
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    DetourAttach(&(PVOID&)ProtocolCoreEx, ProtocolCore);
    DetourTransactionCommit();
  }
  break;
		
  case DLL_PROCESS_DETACH:
  {
   DetourTransactionBegin();
   DetourUpdateThread(GetCurrentThread());
   DetourDetach(&(PVOID&)ProtocolCoreEx, ProtocolCore); 
   DetourTransactionCommit();
  }
  break;	
 }
 return TRUE;
}

int __cdecl ProtocolCore(int protoNum, PBYTE lpMsg, int Len, int Flag)
{
 switch (protoNum)
 {
  case 0xF4:
   {
    switch (lpMsg[3])
    {
     case 0x01:
      { 
       MessageBoxA(NULL, "Qwerty", "Msg", MB_OK);
      }
      break;
    }
   }
 }
 return ProtocolCoreEx((BYTE)protoNum, lpMsg, Len, Flag);
}

А дело собственно вот в чем, когда трассирую функцию и дохожу до моего прыжка Stack pointer равен в моем случае 0012B610 данному адресу.
После того как данный вызов заменяется на мой дальний прыжок, то есть так скажем трамплин на мою функцию я выполняю определенные действия над данными аргументами и передаю управление уже с измененными аргументы оригинальной функции.
Вообщем когда я уже возвращаюсь из фейк функции, source pointer равен уже совсем другому значению а мне нужно его выравнить опять в 0012B610. Как это реализовать?

[Пепел Феникса]

проблема в то м что вы не верно указали соглашения вызовов.
__cdecl!=__stdcall

[coNsept]

Упс я извиняюсь, это я менял соглашение, вообще первоначально я написал __cdecl. Но все равно сути это не меняет, так тоже не работает.
Не усмотрел когда код вставлял.

[Пепел Феникса]

вам вообще то не важен указатель в итоге(главно соглашение соблюдайте)

параметры передали функции и все.

[coNsept]

Соглашение _cdecl, но все равно esp не восстанавливается

[coNsept]

Указал соглашение _cdecl но все равно указатель на стек не восстанавливается. А мне это нужно обязательно, так как последующее обращение по каким-то адресам дают совсем не правильное смещение, в итоге я получаю ошибку.

[_Bers]

Может быть вот здесь найдёшь то, что тебе нужно: http://rsdn.ru/summary/1383.xml
Да кстати, твой метод перехвата в народе называется "сплайсинг".

[coNsept]

Да, сплайсинг. Кстати проблему решил, а проблема была в том что я пытался затирать CALL, а именно в моем случае мне нужно было перейти в функцию и уже в функции делать переход.