怎么阅读MAP文件，gh0st源码免杀

我们看下，定位svchost.dll 的第一个特征码内存地址为：100044AA，在第2块

中，我们可以找到RVA+BASE与之很接近的是

0001:00003440 ?FixedUploadList@CFileManager@@AAE_NPBD@Z 10004440 f

FileManager.obj

这样我们可以定位到FileManager.cpp中的FixedUploadList函数，是不是范围缩

小了？

转自：http://1873281.blog.51cto.com/1863281/747125

posted @ 2013-02-15 17:22  stma  阅读(241)  评论(0)    收藏  举报