首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]内存中定位PE头
发表于: 2009-4-6 11:00 5328

[求助]内存中定位PE头

woosheep 活跃值
2009-4-6 11:00
5328
请教各位前辈，如何在内存中定位PE头

想在内存中获取PE的一些信息，PE头的位置好像会改变，如果是直接载入，一般是4X，加了壳以后好像就改变了，想知道怎么在内存里准确定位PE头的地址

PS:看OD已经做到了，不知是如何完成的呢，望指教

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (6)
iiii
雪    币： 393
活跃值： (100)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
2 楼
invoke GetModuleHandle,NULL
2009-4-6 11:08
0
woosheep
雪    币： 11
活跃值： (12)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
谢谢: )

我试了下，GetModuleHandle取得的应该是本进程的PE头位置，不知道远程进程该怎么取得呢？
2009-4-6 11:47
0
iiii
雪    币： 393
活跃值： (100)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
4 楼
这个, 有点取巧

SIZE_T WINAPI VirtualQueryEx(
__in HANDLE hProcess,
__in_opt LPCVOID lpAddress,
__out PMEMORY_BASIC_INFORMATION lpBuffer,
__in SIZE_T dwLength
);

typedef struct _MEMORY_BASIC_INFORMATION {
PVOID BaseAddress;
PVOID AllocationBase;
DWORD AllocationProtect;
SIZE_T RegionSize;
DWORD State;
DWORD Protect;
DWORD Type;
} MEMORY_BASIC_INFORMATION,
*PMEMORY_BASIC_INFORMATION;
2009-4-6 12:18
0
woosheep
雪    币： 11
活跃值： (12)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
谢谢指点

我去试试：）
2009-4-6 12:42
0
tianci
雪    币： 247
活跃值： (141)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
在论坛的dump教学帖中有！
2009-4-6 17:56
0
woosheep
雪    币： 11
活跃值： (12)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
如果LS指的是 浅谈脱壳中的Dump技术

他并不是获取，而是直接指定
2009-4-10 16:16
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//