1:
2:

55     push ebp
8BEC   mov ebp, esp					

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:
45:
46:
47:
48:
49:
50:
51:
52:
53:
54:
55:
56:
57:
58:
59:
60:
61:
62:
63:
64:
65:
66:
67:
68:
69:
70:
71:
72:
73:
74:
75:
76:
77:
78:
79:
80:
81:
82:
83:
84:

unit Unit1;

interface

uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, StdCtrls;

type
  // One and a half words - santa's little helper
  TOAAHW = packed record
    b1, b2, b3: Byte;
  end;

  TForm1 = class(TForm)
    Button1: TButton;
    procedure Button1Click(Sender: TObject);
  private
    { Private-Deklarationen }
  public
    { Public-Deklarationen }
  end;

var
  Form1: TForm1;
  // Das prüft, ob eine Prozedurkopf vorhanden ist:
  function CheckForProcEntry(ToCheck: TOAAHW): Boolean;

implementation

{$R *.dfm}

function CheckForProcEntry(ToCheck: TOAAHW): Boolean;
begin
  result := false;
  // Jede Prozedur mit Anzahl Parameter <> 0 oder Anzahl Lokale Variablen <> 0
  // beginnt mit $558BEC. In Assembler siehts so aus:
  //
  //  55    push ebp
  //  8BEC  mov ebp, esp
  //
  // Das ist der Code zum sichern des Stackframe.

  if (ToCheck.b1 = $55) and (ToCheck.b2 = $8B) and (ToCheck.b3 = $EC) then
    result := true;
end;

procedure TForm1.Button1Click(Sender: TObject);
var
  p: ^Pointer;
  i, j: Integer;
  poaahw: ^TOAAHW;
begin
  // Dirty 'Lil Trick um in die Nähe der aktuellen Position (EIP) zu kommen:
  asm
    jmp @thecall;
    @callme:
    mov p, esp;
    ret;
    @thecall:
    call @callme;
  end;

  j := Integer(p^);
  p := nil;

  // Toleranz ändern(orig: 200), wenn ihr keinen Method-Namen bekommt und keine Adresse bekommt.
  for i := j downto j-200 do
  begin
    poaahw := Pointer(i);
    if CheckForProcEntry(poaahw^) then
    begin
      p := Pointer(i);
      break;
    end;
  end;

  if p <> nil then
    showmessage(inttohex(Integer(p), 8) + ': ' + Self.MethodName(p))
  else
    showmessage('nüscht :(');
end;

end.