API取子程序地址，支持有字节集自定义数据类型参数

先说说思路
调用子程序的时候会把返回地址传递到子程序中,[ebp+4] 存放的就是执行完这个子程序后跳转的地址
先执行个子程序,取到返回地址,相当于取到了EIP执行的下一条指令,玩汇编的都知道,EIP存放的总是下一个指令的地址

执行完子程序,取到了EIP的地址,然后就从当前的EIP逐字节遍历,遇到call (字节"E8") 的时候就是调用子程序了
E在编译后,返回() 后面的代码一样会编译出去,其他语言不知道,没看过
然后利用返回,不执行子程序,并且还能计算子程序地址

计算子程序地址大概是这么实现
把EIP存放到EAX里,EIP不能直接访问,只能执行一个子程序后取[EBP+4]
EAX自增1,逐字节遍历
把[EAX] 存放到ECX
如果ECX的低8位,CL = E8 就是走到call的位置了
此时,EAX存放的就是调用这个子程序的指令地址,对应的指令应该是 CALL XXXX
call占一个字节,后面跟着偏移
把[EAX+1] 存到ECX,此时ECX记录的是偏移
在计算一下子程序的实际地址 LEA EAX, [EAX+ECX+5] EAX是 call XXXX 指令的位置 call XXX 占5个字节,计算出偏移后取他的地址
取到的地址就是子程序的实际地址
语言表达能力不足,懂的还是看汇编代码吧

mov eax,[ebp+4]
loop1:
inc eax
mov ecx,dword ptr ds:[eax]
cmp cl,0E8h
jnz loop1

mov ecx,dword ptr ds:[eax+1]
lea ebx,dword ptr ds:[eax+ecx+5]
mov eax,ebx
leave
ret 4

取带字节集参数的子程序地址,带自定义数据类型的地址,这些都没问题,也都能正常调用。