能力值：
( LV2，RANK：10 )
|
-
-
2 楼
用IDA看系统怎么做的
|
能力值：
( LV6，RANK：90 )
|
-
-
3 楼
gs:60
|
能力值：
( LV4，RANK：50 )
|
-
-
4 楼
.flat:0000000000401000 public start
.flat:0000000000401000 start:
.flat:0000000000401000 mov rax, 30h
.flat:0000000000401007 mov rax, gs:[rax] ; 指向TEB
.flat:000000000040100B mov rax, [rax+60h] ; 指向PEB
.flat:000000000040100F mov rax, [rax+18h] ; 指向Ldr链
.flat:0000000000401013 mov rax, [rax+10h] ; 指向 InLoadOrderModuleList 链表头 【你也可以指向 InMemoryOrderModuleList链、InInitializationOrderModuleList链~】
.flat:0000000000401017 mov rax, [rax] ; Next
.flat:000000000040101A mov rax, [rax] ; Next
.flat:000000000040101D mov rax, [rax+30h] ; Kernel32基址
.flat:000000000040101D ; --------------------------------------------------------------------------- .flat:0000000000401000 public start
.flat:0000000000401000 start:
.flat:0000000000401000 mov rax, 30h
.flat:0000000000401007 mov rax, gs:[rax] ; 指向TEB
.flat:000000000040100B mov rax, [rax+60h] ; 指向PEB
.flat:000000000040100F mov rax, [rax+18h] ; 指向Ldr链
.flat:0000000000401013 mov rax, [rax+20h] ; 指向InMemoryOrderModuleList链
.flat:0000000000401017 mov rax, [rax] ; Next
.flat:000000000040101A mov rax, [rax] ; Next
.flat:000000000040101D mov rax, [rax+20h] ; Kernel32基址
.flat:000000000040101D ; ---------------------------------------------------------------------------
原文： http://www.chinapyg.com/thread-76627-1-1.html
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
学习了，正好我也有此疑问，谢谢！
|
能力值：
( LV3，RANK：20 )
|
-
-
6 楼
用NtQueryInformationProcess得到ProcessBasicInformation, 里面有PebBaseAddress
|
|
|
|
