-
-
未解决 [求助]关于进程卸载
-
发表于: 2021-1-26 19:30
-
!
小弟学滴水逆向三期，P86课海哥作业是做一个程序加壳，在写壳程序的时候遇到一个问题，海哥在课上没有详细的讲，只能跪求看雪的大哥们给我讲下。
--------------分割线------------------------
(1) 卸载外壳程序的文件镜像(ZwUnmapViewOfSection)
就是上边这个函数ZwUnmapViewOfSection。
究竟什么叫卸载外壳程序的文件镜像？群里的朋友说，卸载和不卸载都可以，但是我还是想不明白。
我是这么想的：
1、以挂起的方式创建进程，系统分配一个低2G的空间（此时这2G空间里已经有一部分壳程序的内容了）。
2、申请空间，把源文件的镜像从src的SizeOfImage这个位置开始存
2、修改壳程序的基址、主程序的EIP、修复重定位表
3、恢复主线程
不知道为什么要卸载外壳程序的文件镜像，是不是卸载了，任务管理器就看不到了？
第一次发帖，求大佬讲讲
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
