|
|
|---|---|
|
|
|
|
|
|
|
|
是不是可以这样理解：
1：如果cr0保护关闭了，那就是没保护，od可以直接修改，并对所有造成影响。 2：如果cr0保护开启了，那就是有保护，不允许对代码写，但是OD又要对代码写，这时触发写入复制（COW），因为OD是attach到某进程空间的，那么OD改的就是复制的了，所以不会对其他造成影响。 可以测试一下，如8楼，如果两者改的位置是一致的，那么就是情况1，如果是情况2，那么两者修改的地址应该是不同的。。 坐等大牛 
|
|
|
|
|
|
 我猜想,应该是这样的, |
|
|
|
|
|
|
|
|
|
|
|
谢谢 哥们了 养眼啊
|
|
|
|
|
|
|
|
|
为什么你们都要说"字数补丁" "XX补丁" ??? 我不理解
|
|
|
|
|
|
1> 一般的Dll, 重复加载的时候只是增加引用计数 -- 这个解释所有的API在不换系统不重启的时候,在不同进程是同一逻辑地址....
2> 但是, 如果你修改了Dll, 那么系统就会将修改的部分拷贝一份. 所以你在三环下挂Api钩子, 只影响本进程.(即楼上有人说的COW技术) 3> 楼主从逻辑地址, 找到了物理地址, 然后直接修改物理地址, 那么系统就不会有上述所言的"2>"的过程... 于是乎对系统造成的影响就 "跨进程"了... 楼主winDbg用得很熟练, 学习了`~~ 感谢楼主分享. ~~~ 
|
|
|
|
|
|
|
|
|
.
. 太好了~ , , 像期待米国大片一样期待 ing.... , |
|
|
|
|
|
|
|
|
这是灌水专用语句哈哈。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
