find base addr of kernel32.dll

最新推荐文章于 2023-07-03 08:40:36 发布

最新推荐文章于 2023-07-03 08:40:36 发布 · 185 阅读

文章标签：

#thread

VC++ 专栏收录该内容

8 篇文章

订阅专栏

本文通过一系列汇编指令详细解析了如何从PE文件中获取导出表的具体位置，并读取其中的第一项函数地址及名称。通过对fs段、eax、ecx等寄存器的运用，展示了如何定位到导出表的绝对地址。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

mov esi,fs:[0x30]//fs=thread ctrl modole TEB
   mov eax,[esi]+0x0c//process ctrl modole PEB
   mov ebx,[eax+0x1c]
   mov ecx,[ebx]
   mov ebp,[ecx+0x8]

   mov eax,[ebp+0x3c]//eax=start of pe header
   mov ecx,[ebp+eax+0x78]//ecx=relative offset of export table

   add ecx, ebp//ecx=absolute addr of export table
   mov eax,ecx
   add eax,0x1c//eax= rva of list functions offset
   mov eax,[eax]
   add eax,ebp
   mov eax,[eax]//first function offset addr
   add eax,ebp//first function absolute addr
   mov edx,eax

   mov ebx,[ecx+0x20]//ebx=relative offset of names table
   add ebx,ebp//ebx= absolute addr of names tables
   mov ebx,[ebx]
   add ebx,ebp// first function name
   xor edi,edi//edi will count through the functions