一种构造合法堆栈返回值绕过函数调用检测的方法与系统

摘要

本发明公开了一种构造合法堆栈返回值绕过函数调用检测的方法，包括：构造递归调用往堆栈中多次压入进程的d3d9.dll模块的代码段中的任一连续两条汇编指令序列pop ebp,retn的地址，其中压入地址的次数大于或等于堆栈检测调用的层数；在往堆栈中多次压入上述地址后，构造系统函数CreateDeviceEx需要的参数并压入堆栈，并往堆栈中再次压入上述地址后，跳转到系统函数CreateDeviceEx。通过构造一个递归调用往堆栈中多次压入进程的d3d9.dll模块的代码段中的任一连续两条汇编指令序列pop ebp,retn的地址，从而在堆栈中压入超过堆栈检测调用层数的合法地址，从而在游戏开发商对调用CreateDeviceEx函数的调用者进行检查时能够通过合法性验证，从而保证直播的正常进行。