hcper @ 2025.7.29

因为星号密码都会用到ntdll!RtlRunDecodeUnicodeString和ntdll!RtlRunEncodeUnicodeString

前者解密后者加密。

解密ntdll!RtlRunDecodeUnicodeString如下：

ntdll!RtlRunDecodeUnicodeString:

77d4d960 8bff            mov     edi,edi

0:000> dd esp l3

0019f224  776cf345 0000002d 0019f238

0:000> db 0019f238 l20

0019f238  08 00 08 00 38 f0 e6 00-a4 f2 19 00 03 66 6d 77  ....8........fmw

0019f248  b8 b2 e6 00 00 00 00 00-81 0c 01 3b 01 3b 01 04  ...........;.;..

0:000> ds 0019f238

00e6f038  "^B^B]B]B"【加密形式】

0:000> pt【运行到底部】

ntdll!RtlRunDecodeUnicodeString+0x3d:

77d4d99d c20800          ret     8

0:000> dd esp l3

0019f224  776cf345 0000002d 0019f238

0:000> db 0019f238 l20

0019f238  08 00 08 00 38 f0 e6 00-a4 f2 19 00 03 66 6d 77  ....8........fmw

0019f248  b8 b2 e6 00 00 00 00 00-81 0c 01 3b 01 3b 01 04  ...........;.;..

0:000> ds 0019f238

00e6f038  "11112222"【明文密码】

================================

加密ntdll!RtlRunEncodeUnicodeString如下：

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！