能力值：
( LV11，RANK：190 )
|
-
-
2 楼
恭喜你,很可能发现了一个内核服务或者驱动程序缓冲区溢出漏洞,rax=004700450052005C这一看就是UNICODE啊(用010看了一下是'GER\')
|
能力值：
( LV8，RANK：130 )
|
-
-
3 楼
我也发现了是这个字符串，但不知道它是如何跑到rax中去的
|
能力值：
( LV4，RANK：50 )
|
-
-
4 楼
会不会是498前没有加0x
|
能力值：
( LV8，RANK：130 )
|
-
-
5 楼
首先，直接加498结果正不正确你从最后那个图的地址都可以看出来。
其次，Windbg默认就是十六进制，如果用十进制需要前面加0n。
|
能力值：
( LV8，RANK：130 )
|
-
-
6 楼
这很明显啊，你怎么能保证你现在看到的ETHREAD内容就是当时崩溃时的ETHREAD内容呢？你思路就错了。当然觉得问题奇怪。
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
菜鸟飘过，感觉楼上说的有道理
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
只能告诉你这是个循环...所以你错了，上面那位说得对
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
只是dump而已，rdx+498里面的数值是蓝屏时候的数值吗？莫非lz能让时光倒流不成？
|
能力值：
( LV4，RANK：40 )
|
-
-
10 楼
You are not alone
dc7K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3q4F1M7%4N6W2M7Y4y4Q4x3X3g2E0K9h3y4J5L8%4y4G2k6Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6W2L8W2)9J5k6s2g2K6i4K6u0r3N6$3W2F1k6r3!0%4M7#2)9J5c8X3k6G2M7Y4g2E0i4K6u0r3N6$3W2F1k6r3!0%4M7#2)9#2k6U0N6Q4x3X3c8#2M7r3c8S2N6r3g2Q4x3V1k6%4K9h3&6V1L8%4N6K6i4K6u0V1y4#2)9J5k6r3y4J5j5i4y4Z5k6i4y4Q4x3X3c8K6K9r3!0J5N6r3I4&6i4K6u0V1j5h3k6@1k6i4u0Q4x3X3c8K6N6r3q4J5N6s2g2H3i4K6u0r3x3o6p5&6y4e0x3#2z5e0y4Q4x3X3b7@1k6U0j5^5i4K6u0V1y4o6q4S2k6W2)9J5k6o6V1H3k6o6N6Q4x3X3b7^5y4U0R3#2y4e0l9#2y4$3f1$3x3K6W2Q4x3@1k6S2N6i4c8Z5i4K6y4p5x3b7`.`.
另外rax的值不一定就是[rdx+0498h]的值，流程里有遍历CmCallBackList，那么rax可能本该指向位于其他ETHREAD的空间。
|
能力值：
( LV8，RANK：130 )
|
-
-
11 楼
多谢指出，竟然没留意到这里循环的问题！不过顺着链表走了一趟，也没有这个004700450052005c 出现
|
能力值：
( LV3，RANK：20 )
|
-
-
12 楼
直接s搜索004700450052005c反推看看呗
|
|
|
|
