大神啊，你在哪啊？获取NtQuerVirtualMemory………………地址问题

niulin1

无名侠 发表于 2014-9-6 14:51
这个是我以前发在 梦之未来的帖子 ， 给你复制关键的地方过来。 // 获取步骤// 获取SSDT表基址
// 获取nt ...

关键是在易语言中内核函数的调用，无法确定在那个库里，接口是什么

niulin1

无名侠 发表于 2014-9-6 14:51
这个是我以前发在 梦之未来的帖子 ， 给你复制关键的地方过来。 // 获取步骤// 获取SSDT表基址
// 获取nt ...

不在内核里我已办到，关键是在易语言中内核函数的调用，无法确定在那个库里，接口是什么，，，

niulin1

无名侠 发表于 2014-9-6 14:51
这个是我以前发在 梦之未来的帖子 ， 给你复制关键的地方过来。 // 获取步骤// 获取SSDT表基址
// 获取nt ...

你的这些我看过了，不过很难转成易的，就是某些核心函数不知道在哪个库里，接口有事啥，麻烦你给转一下

补充内容 (2014-9-6 21:50):
不要汇编的，

niulin1

无名侠 发表于 2014-9-6 14:51
这个是我以前发在 梦之未来的帖子 ， 给你复制关键的地方过来。 // 获取步骤// 获取SSDT表基址
// 获取nt ...

不要汇编的啊

无名侠

niulin1 发表于 2014-9-6 21:51
不要汇编的啊

那个好像是取内核基址的ssa这个变量里保存的基址
你自己用自己的方法取把

无名侠

这个函数好像没有公开

niulin1

无名侠 发表于 2014-9-6 22:17
这个函数好像没有公开

niulin1

无名侠 发表于 2014-9-6 22:17
那个好像是取内核基址的ssa这个变量里保存的基址
你自己用自己的方法取把

InitializeObjectAttributes
这个函数在那个库里，在易语言里接口是啥？

じ农夫三拳

一般这样的函数的话，就得从内核取了

じ农夫三拳

  1）从System.map文件中直接得到地址：
      $ grep sys_open /usr/src/linux/System.map
   
   2)使用 nm 命令：
      $ nm vmlinuz | grep sys_open
   
   3)从 /proc/kallsyms 文件获得地址：
      $ cat /proc/kallsyms | grep sys_open
   
   4)使用 kallsyms_lookup_name() 函数：
      是在kernel/kallsyms.c文件中定义的，要使用它必须启用CONFIG_KALLSYMS编译内核。
      kallsyms_lookup_name()接受一个字符串格式内核函数名，返回那个内核函数的地址。
        kallsyms_lookup_name("sys_open");