It all seems fairly simple until th

It all seems fairly simple until the point of restoring the API function's original code, from before, when the hook JMP was injected. Getting the original bytes from hook handlers is out of question as there is no way to find out which part of the handler's code is the original API function prologue code. So, how to find the original bytes?

The answer is: Manually retrieve them by reading the respective DLL library file stored on disk. The DLL files contain all the original code.

In order to find the original first 16 bytes (which is more than enough) of CreateFileW API, the process is as follows:

Kết quả (Việt) 1:

Tất cả dường như khá đơn giản cho tới các điểm khôi phục lại chức năng API mã ban đầu, từ trước đó, khi móc JMP đã được tiêm. Bắt các byte ban đầu từ xử lý móc là ra câu hỏi như không có cách nào để tìm ra mà một phần của bộ xử lý mã là API chức năng mở đầu mã ban đầu. Vì vậy, làm thế nào để tìm các byte ban đầu?Câu trả lời là: tự lấy chúng bằng cách đọc tập tin thư viện DLL tương ứng được lưu trữ trên đĩa. Các tập tin DLL chứa tất cả các mã gốc.Để tìm thấy bản gốc đầu tiên 16 byte (đó là quá đủ) CreateFileW API, quá trình này là như sau:

Kết quả (Việt) 2:

Tất cả dường như khá đơn giản cho đến các điểm khôi phục mã gốc các hàm API, từ trước, khi móc JMP được tiêm. Bắt các byte gốc từ xử lý móc là ra câu hỏi như không có cách nào để tìm ra một phần của mã của xử lý là nguyên hàm API đang mở đầu. Vì vậy, làm thế nào để tìm thấy các byte gốc

Câu trả lời là: thủ lấy chúng bằng cách đọc các file thư viện DLL tương ứng được lưu trữ trên đĩa. Các tập tin DLL chứa tất cả các mã gốc.

Để tìm thấy bản gốc 16 byte đầu tiên (đó là quá đủ) của CreateFileW API, quá trình này như sau: