关于在OsLoader.exe中写文件的问题

iiprogram iiprogram 博客等级 墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 1.5k累计阅读 1.5k平均单平台 已同步平台 优快云 微信公众号 微博 知乎 掘金 百家号 博客园 抖音 小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网 我也要 码龄25年
关注
转载 最新推荐文章于 2026-03-28 10:57:02 发布 1.5k 阅读 AI 写同款· GEO 优化 ›
使用IDA静态分析osloader.exe+Ntoskrnl.exe 1.使用IDA静态分析osloader.exe，找到BlOpen（）函数的执行语句，简述查找及分析过程。用IDA pro 5.6打开osloader.exeAlt+T，打开文本搜索对话框，在字符串文本框中输入要搜索boot.ini.成功跳转到BIOpen函数ARC_STATUS BlOpen ( IN ULONG DeviceId, I 阅读详情
test 
收录于
windows底层核心編程

当前文章被收录于：

windows底层核心編程
743 篇文章 24 人学习
订阅专栏 查看详情
对Osloader.exe进行分析 查找e_lfanew，IMAGE_EXPORT_DIRECTORYAddressOfFunctions 1.使用winhex打开从NTLDR中提取出的oslader.exe2.查找e_lfanew3.查找IMAGE_EXPORT_DIRECTORY->AddressOfFunctions通过上图我们可以得出，导出表的RVA是 000357B0h ，Size是 000006AFh。我们借助LordPE可以确定在哪个区段表中， 因为导出表的RVA是000357B0h 是大于00031000h 但是小于00 阅读详情

相关推荐

鬼影3样本Mbr之后保护模式代码详细注释(最精华的地方啦)

今天和明天是最后两天宿舍有空调的日子啦,暑假宿舍没空调啊,悲催T__T     好吧,今天是最精华的部分啦对于鬼影3的分析,剩下的都是浮云啦,alg.exe不准备分析了,能用OD调试的货.分析起来只是时间问题.但是MBR和之后的保护模式的代码就不一样啦同学们,纯静态分析,伤不起啊

GaA.Ra的自留地 in Csdn 9969

提取NTLDR文件，分解Osloader.exe；pe文件找e_lfanew、IMAGE_EXPORT_DIRECTORY->AddressOfFunctions

1.1找出NTLDR文件。 NTLDR文件位于xp操作系统c盘的根目录下，不过要先设置可以查看隐藏的系统文件。 将这一栏去掉，之后就找到了。 1.2分解osloader.exe 将NTLDR文件放入winhex； 然后找到MZ段； 在此处添加alt+1，文件尾部添加alt+2，此部分就是osloader.exe。 然后右键'edit

MrLeaper 的博客 1435

NTLDR（NT loader的缩写）是微软的Windows NT系列操作系统（直至Windows XP和Windows Server 2003）的引导程序。

NT loader的缩写）是的系列（直至和）的引导程序。NTLDR可以从以及等移动存储器运行并引导Windows NT系统的启动。如果要用NTLDR启动其他操作系统，则需要将该操作系统所使用的启动扇区代码保存为一个文件，NTLDR可以从这个文件加载其它。Windows XP的NTLDR進階開機選單boot.ini也是比较重要的文件。它是引導程序的組態檔。当boot.ini丢失时，NTLDR会启动第一块硬盘第一个分区上的\Windows目录中的系统。

weixin_40191861的博客 1695

使用IDA分析Osloader.exe文件

首先分享一下，因为winhex非破解版不能进行200kb以上文件的保存，我们可以使用mac os下的hex friend进行操作。 运行ida，打开Osloader.exe文件： Alt+T，打开文本搜索对话框，在字符串文本框中输入要搜索boot.ini： 成功跳转到BIOpen函数 BIOpen函数： ARC_STATUS BlOpen (                 ...

不忘初心，护天下安全！ 2114

NTDETECT文件

NTDETECT.EXE的病毒。这种病毒会进入C盘根目录并形成一个NTDETECT.EXE文件；而在默认情况下，Windows系统是不显示扩展名的（就是把NTDETECT.EXE以及NTDETECT.COM都显示为NTDETECT），如此一来，这个病毒就伪装成了系统文件（用户在C盘下会看到两个NTDETECT文件，NTDETECT.EXE就伪装成了NTDETECT.COM 。一般中了这个病毒就会循环的自动重启，并提示NTDETECT失效！

禁用 WIN7 X64内核保护驱动签名

以下内容假设你是以管理员权限运行WIN7. ——>>没有UAC提示，没有“以管理员身份运行”提示，或其他类似的提示…<<—— 如何使用: 解压存档的内容到任意位置...按顺序执行： 文件名称 说明： ---------------------------------------------------------------------------------------------- 1.cmd （批处理文件，为你创建一个新的BCD项） 2.exe （字节补丁，使用dUP2...修改复制NTOSKRNL和WINLOAD） 3.cmd （批处理文件，修改后的文件会拷贝到\Windows\System32） checksum.exe （这可以解决PE校验，所以在启动时不会收到0xC0000221的错误。） ---------------------------------------------------------------------------------------------- 按顺序运行1，2，3即可。然后可以安全地删除这些文件。不需要运行checksum.exe，它已经在3.cmd中运行。 重新启动计算机，选择“PatchGuard Disabled v2”启动项来启动系统... 这将允许加载未签名的X64位驱动，挂钩NTOSKRNL，进程隐藏，等 如果有任何建议，或者问题？通过论坛与我联系！ 如何卸载： ---------------------------------------------------------------------------------------------- 以管理员权限打开CMD.EXE并输入： bcdedit /delete {46595952-454E-4F50-4747-554944FEEEEE} 然后在\Windows\System32\下删除：ntkrnlmp.exe 和 osload.exe ---------------------------------------------------------------------------------------------- 若不想禁用 WIN7 X64内核保护/驱动签名，开机时选择“Windows 7”启动项即可。 永远记住这一点：这个补丁是为逆向工程和64位内核模式的探索。 这不是为最终用户…如果你不理解“是什么”或“为什么”——请不要使用它。

OSLoader 实现多系统方案

现今有许多系统引导程序，例如bootstart,bootselect,OS bootmanager...当然少不了　　着名的System com-mander 。但是这些程序有的要占用一个主引导区，有的每次开机的时　　候都要写一次MBR，总之使用虽然挺方便但是很容易被一些杀毒软件认为MBR有病毒（我曾　　经使用SC4.0后用KV300杀毒，结果KV300“发现”MBR有病毒，杀

623

ROS2实战：打造智能巡检机器人的关键技术与实现

本文详细介绍了基于ROS2和Navigation2构建智能巡检机器人的完整实战流程。通过设计主从协作的事件驱动架构，实现了机器人在已知地图中的自动导航、定点语音播报和环境图像采集功能。文章涵盖了从环境搭建、仿真配置到核心控制节点、语音服务与图像记录模块的代码实现，为开发者打造实用的自动巡检机器人提供了清晰的技术指南。

weixin_29031057的博客 226

osloader调试记录之从osloader!DebugService2到nt!DebugService2

osloader调试记录之从osloader!DebugService2到nt!DebugService2

linux-0.11调试教程 382

Ruoyi-Cloud集成Seata2.0实现分布式事务

在网络上，关于Spring Cloud和Ruoyi-Cloud整合Seata的教程有很多，针对不同版本的 Seata 也有不少相关教程。事实上，无论是 Spring Cloud 还是 Ruoyi-Cloud，其整合 Seata 的原理基本相同。这篇博文将详细介绍如何在本地开发环境下，在中实现Seata 2.0的整合，希望能为大家在分布式项目中实现 Seata 的整合提供实用的帮助，提供一个清晰的操作思路。

SR003的博客 2248

保姆级教程：用Docker Compose在Linux上一键部署Milvus 2.5.8（附配置文件详解）

本文提供了一份详细的Milvus 2.5.8安装指南，通过Docker Compose在Linux系统上一键部署这款高性能向量数据库。教程涵盖环境准备、配置文件解析、服务启动验证及常见问题解决，帮助开发者快速搭建AI应用所需的基础设施。

weixin_28829629的博客 269

osloader!BlLoadImage32Ex和osloader!BlLoadBootDrivers调试记录--非常重要

osloader!BlLoadImage32Ex和osloader!BlLoadBootDrivers调试记录--非常重要

linux-0.11调试教程 631

逆向实战：如何绕过iTunes 12.6.5.3的反调试机制（附X64dbg插件配置）

本文深入剖析了iTunes 12.6.5.3的反调试机制与登录协议。通过X64dbg动态调试与IDA静态分析，详细演示了如何绕过其反调试检测，并定位到核心的登录协议加密函数，揭示了其请求签名（X-Apple-ActionSignature）的生成逻辑与依赖关系，为客户端安全研究与协议分析提供了实战思路。

weixin_29202213的博客 742

OSLoader实现多系统方案(转)

OSLoader实现多系统方案(转)[@more@]本文仅做参考现今有许多系统引导程序，例如bootstart,bootselect,OS bootmanager...当然少不了著名的System com-mander 。但是这...

383

【QCA6174】QCA6174 DFS认证的时候会有概率信道不会跳转的情况，通常跳转成功概率只有25%问题分析及解决方案

Master设备需要测试的项目。

wgl307293845的博客 753

思远耳机充电芯片-SY5501

BES2700ZP-本文档介绍了思远耳机充电芯片SY5501的使用方法，包括芯片引脚功能说明(VCC、IRQ、RST等)、通信机制(VIN引脚的双重作用)以及相关注意事项。提供了代码片段、调试日志和电路图作为参考，并列出了待解决的问题清单。该芯片需要配合特定充电仓使用，支持私有协议和用户自定义通信功能。

云淡风轻 126

装载修改过的WINDOWS系统内核程序（WIN2000）

您是否想修改WIN2000系统内核文件呢？(如:NTOSKRNL.EXE或HAL.DLL)如果您修改了NTOSKRNL.EXE后，再复制到SYSTEM32目录下，WIN2000系统就会恢复您所覆盖的系统内核文件。最简单的解决方法就是用引导盘引导后再复制。但是这样就行了吗？没有。因为在重新启动以后，选择Windows 2000 高级选项菜单里面的带命令行提示的安全模式会显示以下内容:因以下文件的

wintc的专栏 2685

携程机票数据爬取实战：使用 Python 获取携程网机票信息

通过本篇博客，我们详细介绍了如何使用 Python 爬取携程网的机票信息，涉及了静态网页爬取（使用 Requests 和 BeautifulSoup）和动态网页爬取（使用 Selenium）两种方法。通过获取的数据，我们不仅能够进行票价分析，还可以构建更为复杂的预测模型或趋势分析工具。爬虫技术不仅能够帮助我们收集有价值的数据，还能够为商业决策提供数据支持。在实际应用中，我们可以结合更多的分析方法，如自然语言处理、图像处理等，进一步提升数据的价值。

2201_76125261的博客 1658

osloader.exe orbitmxt.dll OPTINPS.DLL opnfiles.exe OPHPROXY.DLL ooxmi.dll oooimprovecoremi.dll

以上只是通用的运行库dll处理方式，如果你遇到缺失文件是第三方的软件文件，那么就需要下载到属于这个程序所匹配的版本的文件，然后将这个文件复制到这个程序的安装目录下才能解决问题。如果我们遇到关于文件在系统使用过程中提示缺少找不到的情况，如果文件是属于运行库文件的可以单独下载文件解决，但还是建议安装完整的运行库，可以尝试采用手动下载替换的方法解决问题！文件下载完成后，下方列表会有很多个不同版本的文件，这里所有文件都是免费可下载的，我们根据自己所需要的版本文件，点击右边的“打开”，这样就找到了下载的文件。

2508_92340559的博客 323

SOEM主站开发篇（1）：移植SOEM主站到Linux开发板

详细介绍了SOEM主站源码移植到Linux开发板上的步骤，同时演示了如何使用Linux开发板获取EtherCAT从站的PDO映射信息。

kevin1499的博客 2399

STM32F407中文手册

STM32f407中文手册 本参考手册面向应用开发人员，提供有关使用 STM32F405xx/07xx、STM32F415xx/17xx、 STM32F42xxx 和 STM32F43xxx 微控制器存储器与外设的完整信息。STM32F405xx/07xx、STM32F415xx/17xx、STM32F42xxx 和 STM32F43xxx 构成一个微 控制器系列，各产品具有不同的存储器大小、封装和外设。有关订购信息以及器件的机械与电气特性，请参见数据手册。有关 ARM Cortex™-M4F 内核的信息，请参见《Cortex™-M4F 技术参考手册》。

osloader!BdInitDebugger函数的第一次调用--NTLDR源代码分析--NTLDR源代码分析可以调试----全网首发

osloader!BdInitDebugger函数的第一次调用--NTLDR源代码分析--NTLDR源代码分析可以调试

linux-0.11调试教程 561

WINCC7.3破解文件

WINCC7.3硬件够破解文件，有需要的下载！WINCC7.3硬件够破解文件，有需要的下载！

windows 7 bcdedit.exe(启动管理器)知识和常用语法讲解

这是一篇windows 7 bcdedit.exe(启动管理器)基本语法讲解的文章，是使用windows 7 bcdedit.exe(启动管理器)的基础文章，如果想要入门bcdedit.exe(启动管理器)，必须了解本文提到的基本参数使用语法。如果想要创建BCD文件，可以参考杰趣网志的另外一篇：使用windows 7 bcdedit.exe(启动管理器)创建BCD文件教程。 bcdedit.ex...

ice.k 2203

数学建模模型总结

这是本人在两年内准备参加数学建模竞赛搜集到的模型资料，已经经过了本人的筛选和整理，希望能够对准备参加数学建模竞赛的学弟学妹们提供一些帮助！

RU DOS版、EFI版32bit/64bit BIOS常用工具

DOS版、EFI版的RU工具，可用来查看IO、MEM、PCI、SMBIOS等资源。亲测在EFI SHELL下可用。

如何用微软的osloader引导magic linux?

多个Windows NT (2000,XP) 与 Linux的共存 多系统共存的比较好的方法是用Windows NT（2000，XP）自带的 NT Loader。 以下以安装 Win2000＋WindowsXP＋Magic Linux＋Redhat9.0 为例 （1）先将硬盘分区分好, 一般 Linux 用 EXT3 ，每个 Linux用一个Boot分区，一个Root 分区，两个Linux共享一个

冷剑魂的专栏——垃圾场 910

WIN98内存分配情况

在WIN98ME里全局描述符有1FF个、局部描述符有BFF个、中断有5F个。而在Windows 2000里全局描述符有7F个、局部描述符没有、中断有FF个。WIN98ME  GDT 基地址 C0F71000 界限 00000FFF  IDT 基地址 800B0000  界限 000002FFWIN2000  GDT 基地址 80036000 界限 000003FF  IDT 基地址 80036

wintc的专栏 2328

windows之启动过程（一）

windows的启动过程一直是我比较感兴趣的。下面看一下他是怎么启动的。 1. BIOS 加电自检 （包括枚举设备，初始化显卡等。这时可以进入BIOS内进行一些主板设置,如修改主板时间、设置从USB启动等） 2. BIOS 选择一个启动设备，执行主引导记录（MBR）。  MBR是一个设备的第一个扇区，包含引导代码和分区数据。最多支持4个分区数据，如果你把系统

点点灵犀 1663
上一篇： WinFlash AwdFlash分析
下一篇： Hook NDIS.SYS入口
点赞 0
评论 2
书签 书签 0
iiprogram
iiprogram
博客等级 码龄25年 1068粉丝 1515原创
+ 关注 专栏目录 订阅专栏
评论 2
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值