【首发】32位程序实现64位函数的真正底层调用，syscall

同学麻烦让让 · 发表于 2022-7-21 12:20:37

ANormalUser 发表于 2022-7-21 12:14
请重下代码，早上就改了
lea r9是调试时用的，这个函数忘了删了

恩，重新下了新版是改过的，你在WIN7 X64试试看看能不能成功，不知道是我个人电脑问题还是所有WIN7 X64都不行，如果WIN7 X64也行的话就比eWOW64Ext里的方法调用起来要简单多了，我看了WIN7 X64的syscall和WIN10都差不多，按理来说没问题的，不知道为什么我试验不正常

ANormalUser · 发表于 2022-7-21 12:15:37

本帖最后由 ANormalUser 于 2022-7-21 14:27 编辑

htpidk 发表于 2022-7-21 11:45
在WIN7 X64上失败，截图看我前面的楼层，看了下代码，从第一个使用到的NtAllocateVirtualMemory_x64函数开 ...

审核发重复了，抱歉

ANormalUser · 发表于 2022-7-21 12:14:23

htpidk 发表于 2022-7-21 11:45
在WIN7 X64上失败，截图看我前面的楼层，看了下代码，从第一个使用到的NtAllocateVirtualMemory_x64函数开 ...

请重下代码，早上就改了
lea r9是调试时用的，这个函数忘了删了

ANormalUser · 发表于 2022-7-21 12:13:21

本帖最后由 ANormalUser 于 2022-7-21 14:27 编辑

htpidk 发表于 2022-7-21 11:45
在WIN7 X64上失败，截图看我前面的楼层，看了下代码，从第一个使用到的NtAllocateVirtualMemory_x64函数开 ...

审核发重复了，抱歉

同学麻烦让让 · 发表于 2022-7-21 11:45:47

本帖最后由 htpidk 于 2022-7-21 11:47 编辑

在WIN7 X64上失败，截图看我前面的楼层，看了下代码，从第一个使用到的NtAllocateVirtualMemory_x64函数开始看，看到那一段汇编代码有一段有点迷惑，有两句代码明显不需要的不知道为什么有，按我的直觉来看这样是错的，但是按照我的意思修改了这段汇编在WIN7 X64上还是失败，今天在公司WIN10 X64上重新试了你的代码，看起来是没错，但是增加了一个调试输出就可以看出你这个函数写错了

l_Status ＝ NtQueryVirtualMemory_x64 (l_handle, l_Addr, 0, p_字节集 (l_InformationMemory), 48, l_MemoryQuery)
调试输出 (“调用NtQueryVirtualMemory的Status：” ＋到文本 (l_Status), “页面jz：” ＋到文本 (指针到长整数 (p_字节集 (l_InformationMemory))), “保护类型：” ＋到文本 (指针到整数 (p_字节集 (l_InformationMemory) ＋ 16)), “内存状态：” ＋到文本 (指针到整数 (p_字节集 (l_InformationMemory) ＋ 32)), “RegionSize：” ＋到文本 (指针到整数 (p_字节集 (l_InformationMemory) ＋ 24)))

i支持库列表	支持库注释
spec	特殊功能支持库

原来你的源码里是没有最后一个输出 “RegionSize：” ＋到文本 (指针到整数 (p_字节集 (l_InformationMemory) ＋ 24))的，增加了这句后输出结果如下：
捕获1.JPG

很明显这个RegionSize是错误的，按照我修改的如下，去掉了两句代码：
捕获2.JPG

这个RegionSize才是对的。
其他函数代码还没看，不知道是否也存在类似问题，不过最主要是WIN7 X64不支持（不知道是我个例还是所有WIN7 X64都不行），没有eWOW64Ext这种方法通用

h2995527 · 发表于 2022-7-21 11:44:00

一个高产的大神

veryhigh2014 · 发表于 2022-7-21 11:43:38

kan kan 正好需要。

天刀 · 发表于 2022-7-21 10:51:16

很棒虽然没看懂

阮少小哥哥 · 发表于 2022-7-21 10:47:40

get新知识

orjg · 发表于 2022-7-21 08:35:56

确实给力！

		自动登录	找回密码
密码			注册

[易源码分享] 【首发】32位程序实现64位函数的真正底层调用，syscall