首页
社区
课程
招聘
[求助]MiLookupDataTableEntry函数逆向问题
发表于: 2024-6-14 15:20 2430

[求助]MiLookupDataTableEntry函数逆向问题

2024-6-14 15:20
2430

这个函数在逆向时候发现对不上号
众所周知这个函数反馈的是对应地址所在的LDR_DATA_TABLE_ENTRY节点地址。但是我在逆向时发现Win10 x64下该函数对链表遍历及成员获取时不太符合常理

这边拿完系统保存的第一个节点后不应该是拿base+成员对应的偏移量然后获取base和大小么? 这里怎么是减法操作 有点懵


[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 0
支持
分享
最新回复 (2)
雪    币: 24
活跃值: (576)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
第一个base是指LDR_DATA_TABLE_ENTRY的base
2024-6-14 15:21
0
雪    币: 24
活跃值: (576)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
我焯  我知道了 这个在win10 64已经变成了RTL_BALANCED_NODE*  该成员位于LDR_DATA_TABLE_ENTRY+e0处   而MiLookupDataTableEntry 函数的遍历方式也变为了遍历二叉树的方法而不是以前的遍历链表的形式  这样就说的通了  是说看循环遍历代码也怪怪的
2024-6-14 15:40
0
游客
登录 | 注册 方可回帖
返回
//