|
|
|---|---|
|
|
|
|
|
|
|
|
软壳。有收获
|
|
|
|
|
|
|
|
|
|
|
|
认真学习中，谢楼主
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我看了你的过程,很好! 很希望你们能在以后的日子里多为我们这些初学者留更多的学习资料!!!
|
|
|
|
|
|
仔细看完并手动试验了一下，收获颇丰。不过也发现了原文的几处笔误（也可能是我的误解，还请指正），让我迷惑了好一阵子。希望作者能修改一下以方便后来人：
1、第四部分《抓取内存影像，修改IAT表》第 1 小节“轻松解决IAT表中地址转换的RVA问题”的段尾： …… 现在却可以轻松解决了，奥妙在那里？往下看：把前面提到的内存中404000~4040AF的那段数据拷贝如下： 这里的 404000~4040AF 似乎应该为 404000~40409F。因为后面的 4040A0 是后来 IID 表所处的位置。更为重要的是 40409C 是 IAT 表第一个 NULL 值（0x00000000）出现的地方，因此选 40409F 作为 IAT 表的结尾是合理的。若是选 4040AF 则显得没有什么道理。 2、也是在该小节： 现在根本就完全舍去了RVA这个概念。你只须要把前表中的每个值(记住低位减1)，去掉那个40，照原样填写在下表相应的位置中，并把7FFFFFFF和FFFFFFFF改为全0，IAT表就改选完成了。即： 00004000 48 41 00 00 58 51 00 00 B6 42 00 00 CA 42 00 00 00004010 00 00 00 00 34 42 00 00 A8 42 00 00 D6 41 00 00 00004020 DE 41 00 00 E6 41 00 00 FC 41 00 00 04 42 00 00 这个地方似乎应该是 00004000 48 41 00 00 58 41 00 00 B6 42 00 00 CA 42 00 00。原因嘛，绝对的笔误。  3、应该还有一小处，很小的一处。不过没留意，发帖的时候找不到了～  希望以后的同学多多留意。btw：楼主用的是什么操作系统？怎么 GetProcAddress 的地址 4223F4 会这么低？ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
