[求助]如何内核态调用ZwReadVirtualMemory?-软件逆向-看雪-安全社区|安全招聘|kanxue.com

最新回复 (14)
weolar 雪币： 364 活跃值： (152) 能力值： ( LV12，RANK：450 ) 在线值：发帖 142 回帖 620 粉丝 20 关注私信	weolar 10 2 楼用MmGetSystemRoutineAddress动态得到 2008-9-7 22:43 0
birdEEI 雪币： 30 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 50 粉丝 0 关注私信	birdEEI 3 楼这样是不可以的，是找不到的。MmGetSystemRoutineAddress只能得到导出的函数的地址。ZwReadVirtualMemeory是没有导出的。 2008-9-7 22:56 0
cxhcxh 雪币： 287 活跃值： (102) 能力值： ( LV8，RANK：130 ) 在线值：发帖 10 回帖 245 粉丝 0 关注私信	cxhcxh 3 4 楼暴力搜索......... 2008-9-7 23:57 0
birdEEI 雪币： 30 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 50 粉丝 0 关注私信	birdEEI 5 楼暴力的话还不如自己重写...... 2008-9-8 08:44 0
birdEEI 雪币： 30 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 50 粉丝 0 关注私信	birdEEI 6 楼有没有人帮我回答啊？急啊！ 2008-9-8 23:43 0
轩辕小聪雪币： 722 活跃值： (123) 能力值： ( LV12，RANK：300 ) 在线值：发帖 10 回帖 547 粉丝 5 关注私信	轩辕小聪 7 7 楼在内核态下把ntdll.dll读入内存->从其中的ZwReadVirtualMemory函数中得到对应SSDT中的系统服务号->直接从SSDT中找到相应函数地址并调用。当然得到系统服务号也可以根据不同的系统进行硬编码。 2008-9-14 01:08 0
炉子雪币： 66 活跃值： (16) 能力值： ( LV8，RANK：130 ) 在线值：发帖 4 回帖 317 粉丝 1 关注私信	炉子 3 8 楼自己实现个就是了 zw系列的api都是stub 或者开个systemthread然后直接从ssdt里面取出来call 2008-9-14 11:09 0
zhuwg 雪币： 451 活跃值： (78) 能力值： ( LV12，RANK：470 ) 在线值：发帖 40 回帖 739 粉丝 7 关注私信	zhuwg 11 9 楼来加一个哦也膜拜炉子 2008-9-15 19:42 0
海风月影雪币： 7309 活跃值： (3788) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2308 粉丝 119 关注私信	海风月影 22 10 楼 123457 2008-9-15 20:11 0
sudami 雪币： 709 活跃值： (2420) 能力值： ( LV12，RANK：1010 ) 在线值：发帖 71 回帖 1581 粉丝 64 关注私信	sudami 25 11 楼炉子炉子炉子炉子~ 2008-9-15 20:56 0
captaincp 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 16 粉丝 0 关注私信	captaincp 12 楼学习学习，不错 2008-12-4 20:57 0
liqiufeng 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	liqiufeng 13 楼不用这么麻烦!! 声明一下ZwReadVirtualMemory 函数! 在 SOURCES 文件中加入 TARGETLIBS = $(DDK_LIB_PATH)\ntdll.lib 就可以了! 仍然可以用 SYSCALL 等宏~~ 直接导入,不用读入NTDLL.DLL 到内存,干净标准!! 2008-12-10 23:39 0
绣绣雪币： 208 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 41 粉丝 0 关注私信	绣绣 14 楼为什么一定要用ZwReadVirtualMemory呢，你用NtReadVirtualMemory不是一样的嘛 2008-12-11 19:20 0
vrowang123 雪币： 257 活跃值： (56) 能力值： ( LV5，RANK：60 ) 在线值：发帖 75 回帖 586 粉丝 0 关注私信	vrowang123 1 15 楼人家有人家的用处，你站在你的用法上考虑当然不需要。但别人可能需要这样用。谢谢ls的ls，正好需要。 2009-7-18 13:49 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (14)
weolar 雪币： 364 活跃值： (152) 能力值： ( LV12，RANK：450 ) 在线值：发帖 142 回帖 620 粉丝 20 关注私信	weolar 10 2 楼用MmGetSystemRoutineAddress动态得到 2008-9-7 22:43 0
birdEEI 雪币： 30 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 50 粉丝 0 关注私信	birdEEI 3 楼这样是不可以的，是找不到的。MmGetSystemRoutineAddress只能得到导出的函数的地址。ZwReadVirtualMemeory是没有导出的。 2008-9-7 22:56 0
cxhcxh 雪币： 287 活跃值： (102) 能力值： ( LV8，RANK：130 ) 在线值：发帖 10 回帖 245 粉丝 0 关注私信	cxhcxh 3 4 楼暴力搜索......... 2008-9-7 23:57 0
birdEEI 雪币： 30 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 50 粉丝 0 关注私信	birdEEI 5 楼暴力的话还不如自己重写...... 2008-9-8 08:44 0
birdEEI 雪币： 30 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 16 回帖 50 粉丝 0 关注私信	birdEEI 6 楼有没有人帮我回答啊？急啊！ 2008-9-8 23:43 0
轩辕小聪雪币： 722 活跃值： (123) 能力值： ( LV12，RANK：300 ) 在线值：发帖 10 回帖 547 粉丝 5 关注私信	轩辕小聪 7 7 楼在内核态下把ntdll.dll读入内存->从其中的ZwReadVirtualMemory函数中得到对应SSDT中的系统服务号->直接从SSDT中找到相应函数地址并调用。当然得到系统服务号也可以根据不同的系统进行硬编码。 2008-9-14 01:08 0
炉子雪币： 66 活跃值： (16) 能力值： ( LV8，RANK：130 ) 在线值：发帖 4 回帖 317 粉丝 1 关注私信	炉子 3 8 楼自己实现个就是了 zw系列的api都是stub 或者开个systemthread然后直接从ssdt里面取出来call 2008-9-14 11:09 0
zhuwg 雪币： 451 活跃值： (78) 能力值： ( LV12，RANK：470 ) 在线值：发帖 40 回帖 739 粉丝 7 关注私信	zhuwg 11 9 楼来加一个哦也膜拜炉子 2008-9-15 19:42 0
海风月影雪币： 7309 活跃值： (3788) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2308 粉丝 119 关注私信	海风月影 22 10 楼 123457 2008-9-15 20:11 0
sudami 雪币： 709 活跃值： (2420) 能力值： ( LV12，RANK：1010 ) 在线值：发帖 71 回帖 1581 粉丝 64 关注私信	sudami 25 11 楼炉子炉子炉子炉子~ 2008-9-15 20:56 0
captaincp 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 16 粉丝 0 关注私信	captaincp 12 楼学习学习，不错 2008-12-4 20:57 0
liqiufeng 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	liqiufeng 13 楼不用这么麻烦!! 声明一下ZwReadVirtualMemory 函数! 在 SOURCES 文件中加入 TARGETLIBS = $(DDK_LIB_PATH)\ntdll.lib 就可以了! 仍然可以用 SYSCALL 等宏~~ 直接导入,不用读入NTDLL.DLL 到内存,干净标准!! 2008-12-10 23:39 0
绣绣雪币： 208 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 41 粉丝 0 关注私信	绣绣 14 楼为什么一定要用ZwReadVirtualMemory呢，你用NtReadVirtualMemory不是一样的嘛 2008-12-11 19:20 0
vrowang123 雪币： 257 活跃值： (56) 能力值： ( LV5，RANK：60 ) 在线值：发帖 75 回帖 586 粉丝 0 关注私信	vrowang123 1 15 楼人家有人家的用处，你站在你的用法上考虑当然不需要。但别人可能需要这样用。谢谢ls的ls，正好需要。 2009-7-18 13:49 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复