能力值：
( LV2，RANK：10 )
|
-
-
2 楼
用IDA看系统怎么做的
|
能力值：
( LV6，RANK：90 )
|
-
-
3 楼
gs:60
|
能力值：
( LV4，RANK：50 )
|
-
-
4 楼
.flat:0000000000401000 public start
.flat:0000000000401000 start:
.flat:0000000000401000 mov rax, 30h
.flat:0000000000401007 mov rax, gs:[rax] ; 指向TEB
.flat:000000000040100B mov rax, [rax+60h] ; 指向PEB
.flat:000000000040100F mov rax, [rax+18h] ; 指向Ldr链
.flat:0000000000401013 mov rax, [rax+10h] ; 指向 InLoadOrderModuleList 链表头 【你也可以指向 InMemoryOrderModuleList链、InInitializationOrderModuleList链~】
.flat:0000000000401017 mov rax, [rax] ; Next
.flat:000000000040101A mov rax, [rax] ; Next
.flat:000000000040101D mov rax, [rax+30h] ; Kernel32基址
.flat:000000000040101D ; --------------------------------------------------------------------------- .flat:0000000000401000 public start
.flat:0000000000401000 start:
.flat:0000000000401000 mov rax, 30h
.flat:0000000000401007 mov rax, gs:[rax] ; 指向TEB
.flat:000000000040100B mov rax, [rax+60h] ; 指向PEB
.flat:000000000040100F mov rax, [rax+18h] ; 指向Ldr链
.flat:0000000000401013 mov rax, [rax+20h] ; 指向InMemoryOrderModuleList链
.flat:0000000000401017 mov rax, [rax] ; Next
.flat:000000000040101A mov rax, [rax] ; Next
.flat:000000000040101D mov rax, [rax+20h] ; Kernel32基址
.flat:000000000040101D ; ---------------------------------------------------------------------------
原文： f5eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3y4Z5K9h3&6S2M7s2W2Y4i4K6u0W2j5$3!0E0i4K6u0r3N6r3S2J5k6h3q4V1i4K6u0V1y4K6j5$3x3U0N6Q4x3X3b7I4i4K6u0V1x3g2)9J5k6h3S2@1L8h3H3`.
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
学习了，正好我也有此疑问，谢谢！
|
能力值：
( LV3，RANK：20 )
|
-
-
6 楼
用NtQueryInformationProcess得到ProcessBasicInformation, 里面有PebBaseAddress
|
|
|
|
