能力值：
( LV12，RANK：210 )
|
-
-
2 楼
ZwQuerySystemInformation 获取模块基址和大小开始搜索
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
能具体给下代码否
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
如果要找执行段的代码，那么 VirtualQuery (0-0x7FFFFFFF) 的每一页，每页大小在32bit系统下是0x1000，
如果带Protect 下带可以执行的标志，那么说明这一页是某段代码，你就可以在这一页中找你想要的特征值了
基本上是一个循环
for(ULONG_PTR p = 0; p != 0x80000000; p+0x1000)
{
MEMORY_BASIC_INFORMATION mbi;
VirtualQuery ((LPVOID)P, &mbi, sizeof(mbi))
if(mbi.State == MEM_COMMIT)
{
switch(mbi.Protect)
{
case PAGE_EXECUTE:
case PAGE_EXECUTE_READ:
case PAGE_EXECUTE_READWRITE:
case PAGE_EXECUTE_WRITECOPY:
好了这一页就是代码，你从 P 开始找你要的东西吧，长度是0x1000, 别越界了
break;
}
}
}
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
老大你这是查询本进程吧 俺要查询别人的进程
|
能力值：
( LV4，RANK：50 )
|
-
-
6 楼
枚举模块 分析PE文件
|
|
|
|
