|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
kernel32.dll的基址呀，可以这样来：
mov eax, fs:0x30 mov eax, [eax + 0x0c] mov esi, [eax + 0x0c] lodsd mov eax, [eax] //如果没有这一句则得到ntdll.dll的基址 mov eax, [eax + 0x18] add eax,1000h mov Kernel32,eax 其原理可以在论坛上搜索。这里有一篇不错的文章： 416K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0f1J5x3s2W2D9i4K6u0W2j5X3I4G2k6#2)9J5k6e0p5$3x3#2)9J5k6h3y4G2L8g2)9J5c8X3u0D9L8$3N6Q4x3V1k6K6N6r3q4@1K9h3y4Q4x3V1j5@1y4U0V1I4y4o6b7J5x3o6l9^5y4e0t1H3z5e0t1#2z5o6R3J5z5g2)9J5c8R3`.`. 以及这个：  还有，我看过一个病毒，通过对64位边界进行特征匹配扫描来寻找某dll的基址，再通过它的输出表得到函数指针。 http://bbs.pediy.com/showthread.php?t=75895 |
