-
-
[旧帖] [求助]PE格式，ImageBase问题 0.00雪花
-
发表于: 2014-6-5 20:00
-
先给出一张图，这张图是我用stud_PE以及OllyDBG观察同一个执行档在磁碟上和记忆体中的样子
结果发现，stud_PE中显示的栏位ImageBase中告诉我该程序载入时会在0X400000，但是OllyDBG却告诉我该程序真实的载入地址是0X13C0000(也就是PE_Header的位置)，就本人所知， . exe是没有重定位表的，因此这两个应该有一个是错的，是哪一个呢?
第二个问题
在WIN732bit下，应用程序能读的位址应该是0~0x7FFFFFFF，但是本人在写了一个应用程序，在这个程序执行时注入一段读取0X00000000位址资料的程式码，竟然导致这个程序崩溃，为什么呢?
(我用OllyDBG看过了，在0X00000000这个位址有资料而且是可读的，为何会失败呢? )
看有没有高手来帮我解答
BY 困惑的菜鸟
结果发现，stud_PE中显示的栏位ImageBase中告诉我该程序载入时会在0X400000，但是OllyDBG却告诉我该程序真实的载入地址是0X13C0000(也就是PE_Header的位置)，就本人所知， . exe是没有重定位表的，因此这两个应该有一个是错的，是哪一个呢?
第二个问题
在WIN732bit下，应用程序能读的位址应该是0~0x7FFFFFFF，但是本人在写了一个应用程序，在这个程序执行时注入一段读取0X00000000位址资料的程式码，竟然导致这个程序崩溃，为什么呢?
(我用OllyDBG看过了，在0X00000000这个位址有资料而且是可读的，为何会失败呢? )
看有没有高手来帮我解答
BY 困惑的菜鸟
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
感谢wmbol的回答，第一个问题我明白了
但是关于第2个问题的呵呵，我还不是很懂................................. 能讲详细点吗?? 还是其他人有答案也行
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
感谢htpidk 的回答，小弟大致上了解了，，但还有个小问题，我用olldbg看从0x00000000开始的资料断，ollydbg却可以读出资料，他是怎么做到的? 是某种RING0级的方法吗?
(会这样问的原因是因为我写的程序有先提权过，所以一般应用程序应该无法更高了(就我所知)) 下面放我用的提权代码 void UPPRI() { HANDLE hToken; LUID luidTmp; TOKEN_PRIVILEGES tkp; OpenProcessToken(GetCurrentProcess(),TOKEN_ALL_ACCESS,&hToken); LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &luidTmp); tkp.PrivilegeCount = 1; tkp.Privileges[0].Luid = luidTmp; tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED; AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof(tkp), NULL, NULL); } |
|
|
|
|
|
0X7FFEFFFF应该是PEB
 可读不可写，要是PEB不可读，那麻烦可大了，哈哈。各种死进程
|
