sea

一、实战篇本不想摘代码，既然实战，就不多讲废话了，还是贴上吧，谁都有违背原则的时候:)。代码一：经典案例，替换NtQuerySystemInformation，列取所有查询到的进程名，我使用修改CR0寄存器的方法。#include  typedef struct _SYSTEM_THREADS {     LARGE_INTEGER KernelTime;    L

小小的ret汇编指令大有文章,找到ret的一段ret宏,可管中窥豹:)macro ret AddEspNum{    if ~ AddEspNum eq 0 ; return value        if (AddEspNum mod 4)            .err        end if        lea esp, [esp+(AddEspNum+4)]        jmp

FS寄存器指向当前活动线程的TEB结构（线程结构）偏移  说明000  指向SEH链指针004  线程堆栈顶部008  线程堆栈底部00C  SubSystemTib010  FiberData014  ArbitraryUserPointer018  FS段寄存器在内存中的镜像地址020  进程PID024  线程ID02C  指向线程局部存储指针