-
-
[求助]lordpe使用中的一点疑惑
-
发表于: 2009-3-10 14:48
-
小弟基础不牢，百度资料后依然一头雾水，还请古道热肠者指点一二
大致问题如下(附件中图示)：
exe文件用lordpe打开，查看输入表
1。 假定kernel32.dll的firtThunk 000f23ec,kernel32.dll中函数ExitProcess的 ThunkRVA 000f2214,为什么反而地址位在kernel32.dll的firtThunk之前？
2。lordpe选项总是查看firtThunk勾上和不勾上的区别
3。Thunk ThunkRVA firtThunk OriginalFirtThunk 之间的关系如何？有无互通公式？
谢谢各位...
大致问题如下(附件中图示)：
exe文件用lordpe打开，查看输入表
1。 假定kernel32.dll的firtThunk 000f23ec,kernel32.dll中函数ExitProcess的 ThunkRVA 000f2214,为什么反而地址位在kernel32.dll的firtThunk之前？
2。lordpe选项总是查看firtThunk勾上和不勾上的区别
3。Thunk ThunkRVA firtThunk OriginalFirtThunk 之间的关系如何？有无互通公式？
谢谢各位...
|
|
|---|---|
|
|
 无人回帖....
|
|
|
1.要勾选View always firstThunk，显示的才是firstThunk值。
2.不勾是OriginalFirstThunk把指向的数据，勾上了是FirstThunk指向的数据。 3.看懂这个图： 
|
|
|
|
