能力值:
(RANK:350 )
|
-
-
2 楼
没跟过这个壳。猜想VirtualAllocEx随机分配的内存空间,然后外壳将代码解压过去,跳过去执行。
VirtualAllocEx(hProcess,,0,dwSize,MEM_COMMIT,PAGE_EXECUTE_READWRITE);//申请内存
|
能力值:
( LV6,RANK:90 )
|
-
-
3 楼
这幅图是自定义异常处理过程中堆栈的情况。内存分配是不会分配 0x80000000 以上的地址的。
也就是一条指令触发异常后由系统产生的。
这个值会在异常处理过程中取出做简单的运算然后作为返回地址写入堆栈。从异常处理过程返回后
就跳到这里执行。
|
能力值:
( LV13,RANK:970 )
|
-
-
4 楼
没跟过壳。或许是你跟踪的时候把异常处理的部分给略过去直接往下走了。
|
|
|