Welche Bytes werden beim Hooken/Detouren per JMP überschrieben?

[Shadow992]

Hey zusammen, mal wieder eine hoffentlich schnell zu beantwortende Frage von mir.

Mir geht es wirklich nur um die Theorie und um diese eine/zwei Frage(n), ich brauche keine Code-Beispiele oder Api-Funktionen.

Wenn ich eine Funktion (z.b. in einem Spiel) hooke, was passiert dann?
Was soweit logisch ist:
1. Jmp in einen Address-Bereich, der von uns erstellt wurde
2. Jmp zurück

Aber wo genau findet dieser Jmp statt?
Wird er in die Funktion geschrieben (also in etwa so):

Pseudo-Assembler:

Push Arguments
call MEINEFUNKTION
...

MEINEFUNKTION:
Jmp HIER_WIRD_ZU_UNSEREM_SPEICHER_GESPRUNGEN
normale Funktion
...

oder sieht das eher so aus?

Pseudo-Assembler:

Push Arguments
Jmp HIER_WIRD_ZU_UNSEREM_SPEICHER_GESPRUNGEN
...

MEINEFUNKTION:
normale Funktion
...


Speicher:
; irgendeine Code den wir ausführen wollen
call MEINEFUNKTION
Jmp zurück

Und wo genau liegt der Unterschied zwischen einem Hook und Detour?

Das wars eigentlich schon einmal an Fragen, danke euch.

[Master674b]

Der jump wird da hin geschrieben wo du ihn haben wiolst, normal aber am beginn einer Funktion. Dort überschreibt er in aller regel die bytes von funktionsprolog. Falls mit hotpatch funktionalität compilt wurde wären das

Mov edi, edi
Push ebp
Mov ebp, esp

Detour heißt allgemein umleitung, ein hook kann z.b. auch ein breakpoint sein. Den begriff hook würde ich für beides verwenden, detour aber nur für jmp hooks.

[MrSm!th]

Detour und Hook wird allgemein relativ synonym verwendet.
Wenn man nur von einem Standard-E9-Detour ausgeht, wie du ihn beschrieben hast, wird er idR an den Anfang der Funktion geschrieben, weil du es dann in deiner highlevel Sprache (meist C/C++) leichter hast, mit Parametern etc. umzugehen.
Theoretisch kannst du aber jede Adresse angeben und entsprechend natürlich auch einen Call zu der Funktion mit einem Call zu deiner Funktion überschreiben o.Ä..
Zu beachten wäre dann aber, dass nur der lokale Call überschrieben wird und nicht wie beim Anfang der Funktion jeder Aufruf der Funktion zu dir umgeleitet wird.

Wundert mich irgendwie, die Frage von dir zu lesen. Noch nie nach einem Detour mal im Debugger geschaut, was im Programm passiert? :x

[Shadow992]

Bestens beantwortet, danke euch Zweien.

Vielleicht liest dus ja noch smithy:
Ich habe bisher immer versucht alles selbst zu machen und mich hat nur interessiert wie das allgemein normalerweise gemacht wird.