[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课
SdKfz 在403020处按p
这是动态分配的内存,不在PE的image内。可以设法拦截内存分配操作,使其解码到PE范围内,比如事先给PE文件增加一个区段来保存解码结果。
或者把动态分配的内存区域dump出来,作为一个区段补到PE文件后,只要修正PE头使其被映射到同样地址。