紧急求助

Tesla.Angela

原理是找call或根据特征码辅助找call。给段demo src：

1. 
   
2. Public Function FindPspTerminateThreadByPointer() As Long
   
3.     On Error Resume Next
   
4.     Dim i As Long
   
5.     Dim ubRt As Byte, ubLastAddr As Byte, b1 As Byte, b2 As Byte, b3 As Byte, b4 As Byte
   
6.     Dim AddressOfPsTerminateSystemThread As Long
   
7.     AddressOfPsTerminateSystemThread = GetSystemRoutineAddress("PsTerminateSystemThread")
   
8.     For i = 0 To 259
   
9.         Call GetByte(AddressOfPsTerminateSystemThread + i, ubRt)
   
10.         If ubRt = &HE8 Then
    
11.             Call GetByte(AddressOfPsTerminateSystemThread + i - 1, ubLastAddr)
    
12.             If ubLastAddr = &H50 Then
    
13.                 Call GetByte(AddressOfPsTerminateSystemThread + i + 1, b1)
    
14.                 Call GetByte(AddressOfPsTerminateSystemThread + i + 2, b2)
    
15.                 Call GetByte(AddressOfPsTerminateSystemThread + i + 3, b3)
    
16.                 Call GetByte(AddressOfPsTerminateSystemThread + i + 4, b4)
    
17.                 FindPspTerminateThreadByPointer = GetTargetAddress(AddressOfPsTerminateSystemThread + i, b1, b2, b3, b4)
    
18.                 Exit Function
    
19.             End If
    
20.         End If
    
21.     Next
    
22. End Function
    
23. 
    
24. Public Function FindKiInsertQueueApc() As Long '28 e8
    
25.     On Error Resume Next
    
26.     Dim i As Long
    
27.     Dim ubRt As Byte, ubLastAddr As Byte, b1 As Byte, b2 As Byte, b3 As Byte, b4 As Byte
    
28.     Dim AddressOfKeInsertQueueApc As Long
    
29.     AddressOfKeInsertQueueApc = GetSystemRoutineAddress("KeInsertQueueApc")
    
30.     For i = 0 To 259
    
31.         Call GetByte(AddressOfKeInsertQueueApc + i, ubRt)
    
32.         If ubRt = &HE8 Then
    
33.             Call GetByte(AddressOfKeInsertQueueApc + i - 1, ubLastAddr)
    
34.             If ubLastAddr = &H28 Then
    
35.                 Call GetByte(AddressOfKeInsertQueueApc + i + 1, b1)
    
36.                 Call GetByte(AddressOfKeInsertQueueApc + i + 2, b2)
    
37.                 Call GetByte(AddressOfKeInsertQueueApc + i + 3, b3)
    
38.                 Call GetByte(AddressOfKeInsertQueueApc + i + 4, b4)
    
39.                 FindKiInsertQueueApc = GetTargetAddress(AddressOfKeInsertQueueApc + i, b1, b2, b3, b4)
    
40.                 Exit Function
    
41.             End If
    
42.         End If
    
43.     Next
    
44. End Function
    

复制代码

腾袭

貌似就是汇编中的Call后的4字节

Tesla.Angela

回复 3# 腾袭


    问题是要知道获取哪个call后面的四字节。

腾袭

回复 4# Tesla.Angela


    嗯