摘要：debug版本 esp 栈顶指针 ebp 存放堆栈指针 空程序:int main(){00411360 push ebp ;压入ebp00411361 mov ebp,esp ;ebp = esp,保留esp,待函数调用完再恢复,因为函数调用中肯定会用到esp.00411363 sub esp,0C 阅读全文

摘要：内核对象是指windows内核实现的一组更为基础的对象。 1.内核对象的数据结构只能被内核访问，因此应用程序无法在内存中找到这些数据结构并直接改变它们的内容 2.当调用一个用于创建内核对象的函数时，该函数就返回一个用于标识该对象的句柄 _OBJECT_DIRECTORY 内核对象散列表结构 _OBJ 阅读全文

摘要：在R3下获取一个进程加载的相关模块儿还是比较简单的，直接通过ToolHelp32库API就能够获取到进程关联的模块儿了，但是既然已经在R0下混了再去使用R3层的东西就没什么意义了，所以这里小悠在这里将会一部一部的介绍如何在R0下通过EPROCESS结构获取到进程加载的模块. 首先这里我们先介绍一下我 阅读全文