如何win32asm 下调用 RtlInitUnicodeString-付费问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (2)
cazy 雪币： 16 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 9 粉丝 0 关注私信	cazy 2 楼找了一个这个方法从ntdll.dll导出该函数 ... 奇怪既然 ntdll都有了为啥在 ntoskrnl.inc 中申明 .386 .model flat, stdcall option casemap:none include ..\Macro\strings.mac include windows.inc include kernel32.inc includelib kernel32.lib ;====================================== UNICODE_STRINGC STRUCT _Length word ? MaximumLength word ? Buffer dword ? UNICODE_STRINGC ENDS _RtlInitUnicodeString typedef proto :dword,:dword lpRtlInitUnicodeString typedef ptr _RtlInitUnicodeString .const dllname db 'ntdll.dll',0 szRtlInitUnicodeString db 'RtlInitUnicodeString',0 .data? hdll dd ? RtlInitUnicodeString lpRtlInitUnicodeString ? SectionName UNICODE_STRING <?> .code start: invoke LoadLibrary, addr dllname mov hdll,eax invoke GetProcAddress, hdll, addr szRtlInitUnicodeString mov RtlInitUnicodeString,eax invoke RtlInitUnicodeString, addr SectionName, $CTW0("\\Devices\\PhysicalMemory") end start 2010-8-12 18:01 0
Ptero 雪币： 452 活跃值： (72) 能力值： ( LV9，RANK：330 ) 在线值：发帖 18 回帖 163 粉丝 0 关注私信	Ptero 8 3 楼 ntoskernel is in R0 mode ntdll is r3 r3 code cannot call r0 code directly 2010-8-12 20:50 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (2)

cazy

雪币： 16

活跃值： (11)

能力值：

( LV2，RANK：10 )

在线值：

发帖

回帖

粉丝

关注

私信

cazy: 2 楼

找了一个这个方法
从ntdll.dll导出该函数 ...
奇怪既然 ntdll都有了为啥在 ntoskrnl.inc 中申明

.386
.model flat, stdcall
option casemap:none

include ..\Macro\strings.mac

include  windows.inc
include  kernel32.inc
includelib kernel32.lib
;======================================


UNICODE_STRINGC STRUCT
	_Length 			word ?
	MaximumLength 	word ?
	Buffer 			dword ?
UNICODE_STRINGC ENDS


_RtlInitUnicodeString  typedef proto :dword,:dword
lpRtlInitUnicodeString  typedef ptr _RtlInitUnicodeString

.const
dllname    db 'ntdll.dll',0
szRtlInitUnicodeString  db 'RtlInitUnicodeString',0

.data?
hdll dd ?
RtlInitUnicodeString  lpRtlInitUnicodeString  ?
SectionName UNICODE_STRING <?>


.code
start:

	invoke LoadLibrary, addr dllname
	mov hdll,eax
	
	invoke GetProcAddress, hdll, addr szRtlInitUnicodeString
	mov RtlInitUnicodeString,eax
	
	invoke  RtlInitUnicodeString, addr  SectionName, $CTW0("\\Devices\\PhysicalMemory")
	
end start

2010-8-12 18:01