[求助]大牛给断映射ntkrnlpa.exe到内存然后读取某函数前几个字节的代码-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (4)
wuaiwu 雪币： 838 活跃值： (2812) 能力值： ( LV11，RANK：190 ) 在线值：发帖 21 回帖 151 粉丝 66 关注私信	wuaiwu 3 2 楼加密解密那本书上帝pe结构你就懂了 2011-9-18 22:42 0
oujuanfei 雪币： 14 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 11 粉丝 0 关注私信	oujuanfei 3 楼先得到openrocess的基址，然后把 ntkrnlpa.exe 加载到内存然后得出内核加载基址用openprocress地址减去当前ntkrnlpa.exe的加载基址然后加上手动加载的ntkrnlpa.exe的基址就等于手动加载ntkrnlpa.exe中的openprocess的地址但是我用RtlCopyMemory 读取这个地址的前几个字节会蓝屏是没权限还是为什么 2011-9-19 22:17 0
xacker 雪币： 522 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 17 回帖 449 粉丝 0 关注私信	xacker 1 4 楼直接LoadLibrary内核忽略重定位的话当前内核函数在本进程的原始数据地址=内核函数地址-内核基址+本进程内核加载地址 2011-10-9 19:44 0
oujuanfei 雪币： 14 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 11 粉丝 0 关注私信	oujuanfei 5 楼这个确实不重定位可以不过用RtlCopyMemory 读取这个地址的前几个字节会蓝屏总是蓝屏不知道为什么 2011-10-12 20:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (4)
wuaiwu 雪币： 838 活跃值： (2812) 能力值： ( LV11，RANK：190 ) 在线值：发帖 21 回帖 151 粉丝 66 关注私信	wuaiwu 3 2 楼加密解密那本书上帝pe结构你就懂了 2011-9-18 22:42 0
oujuanfei 雪币： 14 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 11 粉丝 0 关注私信	oujuanfei 3 楼先得到openrocess的基址，然后把 ntkrnlpa.exe 加载到内存然后得出内核加载基址用openprocress地址减去当前ntkrnlpa.exe的加载基址然后加上手动加载的ntkrnlpa.exe的基址就等于手动加载ntkrnlpa.exe中的openprocess的地址但是我用RtlCopyMemory 读取这个地址的前几个字节会蓝屏是没权限还是为什么 2011-9-19 22:17 0
xacker 雪币： 522 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 17 回帖 449 粉丝 0 关注私信	xacker 1 4 楼直接LoadLibrary内核忽略重定位的话当前内核函数在本进程的原始数据地址=内核函数地址-内核基址+本进程内核加载地址 2011-10-9 19:44 0
oujuanfei 雪币： 14 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 11 粉丝 0 关注私信	oujuanfei 5 楼这个确实不重定位可以不过用RtlCopyMemory 读取这个地址的前几个字节会蓝屏总是蓝屏不知道为什么 2011-10-12 20:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复