2012 年 11月 7 日随笔档案 - 4worldpeace

2012年11月7日 #

摘要：使用od打开c:\windows\system32\ntdll.dll如下图： ZwGetContextThread 就是第0x55 个ZwOpenProcess就是第0x7A个啦.房间号拿来做什么呢？=== 阅读全文

posted @ 2012-11-07 15:31 4worldpeace 阅读(327) 评论(0) 推荐(0) 编辑

摘要：打开windbg:Kernel Debug选择Local:输入：dd KeServiceDescriptorTable依次输入：这就获得了内核的函数所在起始地址。原理呢？阅读全文

posted @ 2012-11-07 15:21 4worldpeace 阅读(162) 评论(0) 推荐(0) 编辑

4worldpeace