把sys拖到IDA中显示如下
INIT:00010C85 public start
INIT:00010C85 start proc near
INIT:00010C85 mov eax, dword_10BE8
INIT:00010C8A test eax, eax
INIT:00010C8C mov ecx, 0BB40E64Eh
INIT:00010C91 jz short loc_10C97
INIT:00010C93 cmp eax, ecx
INIT:00010C95 jnz short loc_10CB0
INIT:00010C97
INIT:00010C97 loc_10C97: ; CODE XREF: start+Cj
INIT:00010C97 mov eax, ds:KeTickCount
INIT:00010C9C mov eax, [eax]
INIT:00010C9E xor eax, offset dword_10BE8
INIT:00010CA3 mov dword_10BE8, eax
INIT:00010CA8 jnz short loc_10CB0
INIT:00010CAA mov dword_10BE8, ecx
INIT:00010CB0
INIT:00010CB0 loc_10CB0: ; CODE XREF: start+10j
INIT:00010CB0 ; start+23j
INIT:00010CB0 jmp sub_108AC
INIT:00010CB0 start endp
看过很多驱动都是类似这样的形式! 这个driverentry在那里?是其中的跳转语句吗?
为什么我写的驱动拖到IDA中是很明了的显示了driverentry函数中相对应的反汇编!
这样的驱动是怎么写的?还是编译的问题?
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)