弱弱地问，Starting a Process from KernelMode采用apc方式时，loadlibrary的参数是放在0xabcd中，代码如下，

__asm
  {
    mov eax,0x7C86114D//loadlibrary的地址
    push 1
    nop
    push 0xabcd
    call eax
    jmp end
    ........
}

一直不明白为何是0xabcd，好像是通过下面代码实现把地址放到0xabcd的，是怎么实现的呢，我用softice调试的时候发现data_addr也不是0xabcd啊

//copy the path to the executable
memcpy ((unsigned char*)pMappedAddress + 0x14,
        lpProcess,
        strlen (lpProcess));

data_addr = (ULONG*)((char*)pMappedAddress+0x9);//address pushed on the stack
                                                //(originally 0xabcd)...
*data_addr = dwMappedAddress+0x14; //gets changed to point to our exe's path

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！