首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 经典问答
    3. 发新帖
[求助]如何获得这个线性地址
发表于: 2007-8-27 19:04 4471

[求助]如何获得这个线性地址

Miros 活跃值
2007-8-27 19:04
4471
最近调试一个程序有如下代码
MOV  EAX, FS:[2C]
MOV  EAX, FS:[EAX]
MOV  EBX, FS:[EAX + 8]

FS=003B FS:[0]线性地址为0x7FFDF000 应该是PED的地址
这是在OD中查看到的
我想知道如何通过FS=003B获得FS:[0]的线性地址0x7FFDF000
望各位前辈支个招，谢谢。

[课程]FART 脱壳王！加量不加价！FART作者讲授！

收藏
免费 ・0
支持
分享
最新回复 (6)
笨笨雄
雪    币： 846
活跃值： (221)
能力值： (RANK：570 )
在线值：
发帖
回帖
粉丝
私信
2 楼
MOV  EAX, FS:[0]

你自己都把近似的答案帖出来了
2007-8-28 08:01
0
Miros
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
MOV EAX, FS:[0] 只是取得FS:[0]地址的内容
我想得到FS:[0]的线性地址
我试过用LEA EAX, FS:[0] 得到的却是0而不是0x7FFDF000
斑竹帮忙给个方法，谢谢！
2007-8-28 16:37
0
CORE
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
你是编程还是干什么？
如果只是调试，你都知道是0x7FFDF000还求个什么？

WIN 2000中这个地址是一般程序无法访问到的保护地址空间。除非你自己写个驱动去影射WIN32地址空间，否则一般调试器是不会给你这个地址的，你求当然是零！因为你的程序权限不够，只是返个零给你。
2007-8-28 17:22
0
CORE
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
你回到WIN 98，
LEA EAX, FS:[0]
就可以得到0x7FFDF000，而不是0
2007-8-28 17:25
0
CORE
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
个人见解，不一定对，高手指点哈！
2007-8-28 17:26
0
Miros
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
当然不是编程了 是读别的进程的数据。
当然FS:[0] 在大多数情况下是0x7FFDF000
但是还有0x7FFDE000,0x7FFDD000 ......
我只是想取得FS:[0]的线性地址 这个地址不是后保护的
也不用进内核的
2007-8-28 21:01
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//