能力值：
( LV12，RANK：210 )
|
-
-
2 楼
nt!NtOpenProcess:
80582702 68c4000000 push 0C4h
*（PULONG）（（ULONG）函数+1）
|
能力值：
( LV4，RANK：50 )
|
-
-
3 楼
PUSHORT好点 PULONG可能会出错
|
能力值：
( LV12，RANK：210 )
|
-
-
4 楼
.......何解？
|
能力值：
( LV12，RANK：230 )
|
-
-
5 楼
SysCallIndex = *( (WORD*)(FuncAddr + 1) );
|
能力值：
( LV9，RANK：610 )
|
-
-
6 楼
2楼的是错的，那个不是序号，不信你随便找个看SSDT的工具对照一下。要取也只能从Zw*里面取，或者从Ntdll里面随便取~
|
能力值：
( LV4，RANK：50 )
|
-
-
7 楼
ls观察能力强。。。
是阿，内核的Nt打头是实现函数了
其实类似的内容 网上已经有无数的答案了 不知道为什么lz不先搜索一下 难道在这里提问等待别人回答会比自己搜索还快？
|
能力值：
( LV12，RANK：210 )
|
-
-
8 楼
搞错了，是ntdll!ntopenprocess 多谢指正
|
能力值：
( LV12，RANK：210 )
|
-
-
9 楼
lkd> u ntdll!ntopenprocess
ntdll!ZwOpenProcess:
7c92d5fe b87a000000 mov eax,7Ah
7c92d603 ba0003fe7f mov edx,offset SharedUserData!SystemCallStub (7ffe0300)
7c92d608 ff12 call dword ptr [edx]
7c92d60a c21000 ret 10h
7c92d60d 90 nop
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
感谢楼上的热心
|
|
|
|
