如何得到函数的返回地址？
WinDbg
如何得到函数的返回地址？
guozf
2009-08-06, 16:17 下午
想实现一个功能：不执行一个函数的代码而直接返回。我想的办法如下：
1。 函数的入口处设置断点
2。找到函数的return address
3。设置EIP为这个address
4。恢复程序运行
难点在于如何得到函数的return address.
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
注这个return address是该函数的的最后一个汇编语句
ret
或者
ret 18h （清除调用参数的栈）
而不是调用者在该函数返回后的地址，因为将EIP直接设置为这个地址，会因为没有清除函数调用参数导致 栈空间的错误。
////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
不知道是不是描述得很清楚，请指教或者给一些建议！
Thanks in advance!!
Re: 如何得到函数的返回地址？
格蠹老雷
2009-08-06, 21:54 下午
如果依赖调试符号，那么可以根据函数长度来找。否则没有什么通用的好方法，通常是反汇编分析。
Re: 如何得到函数的返回地址？
guozf
2009-08-07, 09:02 上午
嗯，或者可以试验一下通过调试符号得到函数长度的方法
Re: 如何得到函数的返回地址？
Thomson
2009-08-07, 10:26 上午
可以参考windbg的uf命令来做..
Re: 如何得到函数的返回地址？
guozf
2009-08-07, 10:53 上午
如何参考uf呢？有啥资料么？
Re: 如何得到函数的返回地址？
dos
2009-08-19, 19:07 下午
如果知道被调函数的调用类型，应该可以将EIP直接设为“调用者在该函数返回后的地址”。当然除了设好EIP，在恢复执行前，还要将ESP和EBP的值设成调函数之前的状态，方法是：
如果是调用者清栈（cdecl ），那就不用改ESP，因为函数返回后，EIP就是call 函数的下一句，也就是清栈的那句，这样直接设置EIP然后恢复程序运行应该是没问题的，不过，前提是EBP也是调用函数前的状态；
如果是被调函数清栈（stdcall），这时候如果知道被调函数的参数个数，可以根据参数个数恢复ESP，这一点应该不难；如果不知道参数个数，那就要找到被调函数的ret语句，根据ret后面的值，设置ESP，然后恢复程序运行。同样，要保证EBP是调用前状态。
不知道我是不是理解了楼主的问题，呵呵~