A
Size: a a a
2020 November 30
A
разве что обрпботчики ввставлять черещ fs (или gs, не помню)
С
Ну вот например код нахождения kernel32
assume fs:nothing xor ebx, ebx mov ebx, fs:[30h ] mov ebx, [ ebx + 0Ch ] mov ebx, [ ebx + 14h ] mov ebx, [ ebx ] mov ebx, [ ebx ] mov ebx, [ ebx + 10h ]
assume fs:nothing xor ebx, ebx mov ebx, fs:[30h ] mov ebx, [ ebx + 0Ch ] mov ebx, [ ebx + 14h ] mov ebx, [ ebx ] mov ebx, [ ebx ] mov ebx, [ ebx + 10h ]
С
Блин
С
Исказилось
LW
мало, cs=ds=ss
а в ядре, в результате kva shadow процессов, они так же остаются равными ?
A
С
Скрыто
Ну вот например код нахождения kernel32
assume fs:nothing xor ebx, ebx mov ebx, fs:[30h ] mov ebx, [ ebx + 0Ch ] mov ebx, [ ebx + 14h ] mov ebx, [ ebx ] mov ebx, [ ebx ] mov ebx, [ ebx + 10h ]
assume fs:nothing xor ebx, ebx mov ebx, fs:[30h ] mov ebx, [ ebx + 0Ch ] mov ebx, [ ebx + 14h ] mov ebx, [ ebx ] mov ebx, [ ebx ] mov ebx, [ ebx + 10h ]
На случай если будет мимо проходить понимающий ядро Windows: не понятно зачем обращаются к fs и что значит 30h в данном контексте
