首页
社区
课程
招聘
[求助]关于ZwMapViewOfSection地址错误的疑问
发表于: 2015-5-30 18:16 3801

[求助]关于ZwMapViewOfSection地址错误的疑问

2015-5-30 18:16
3801
我打算读取 C:\Windows\system32\ntkrnlpa.exe 的原始数据,
首先,我把文件全部读入内存中,然后读取 这样没有问题;

后来,我打算采用 ZwMapViewOfSection ,但是当基址

  ZwMapViewOfSection(.....  &baseaddr...)...

当 baseaddr + 0x1000以上时,就会出现错误

这个问题搞了一天了,没有结果,求解!
是否因为 文件偏移 241979 太大了,导致读取问题?

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (1)
雪    币: 101
活跃值: (144)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
2
今天查了一下msdn,有如下一段话:
MaximumSize [in, optional]
Specifies the maximum size, in bytes, of the section. ZwCreateSection rounds this value up to the nearest multiple of PAGE_SIZE. If the section is backed by the paging file, MaximumSize specifies the actual size of the section. If the section is backed by an ordinary file, MaximumSize specifies the maximum size that the file can be extended or mapped to.

英语0级渣借翻译大致理解如下:
该参数指定了以字节为单位的最大值,ZwCreateSection将使用最接近页面大小的倍数值,如果节映射的文件支持分页,MaximumSize指定部分为文件的实际大小。如果节是普通文件,MaximumSize指定节的最大值可以扩展或映射到。

我想可能是因为这个值指定的太小导致的吧。
2015-6-1 12:09
0
游客
登录 | 注册 方可回帖
返回
//