|
阅读：3198回复：4
windbg中如何查看 某个跳转地址 在哪个模块？？
在ntoskkernal中某个函数被病毒修改成
mov eax, 0BAFC9906h jmp eax 。。。 我dump出ntoskernal后，如何查看 0BAFC9906h 地址对应的是哪个驱动模块?? 谢谢 |
|
|
|
沙发#
发布于：2008-10-16 08:17
-u 0BAFC9906h
|
|
|
板凳#
发布于：2008-10-16 08:50
Zwquerysysteminformation 获得所有驱动的BASE ，SIZE然后判断目标地址的空间范围。
|
|
|
|
地板#
发布于：2008-10-16 13:11
lm (List Loaded Modules)
The lm command displays the specified loaded modules. The output includes the status and the path of the module. Syntax lm Options [a Address] [m Pattern | M Pattern] a Address Specifies an address that is contained in this module. Only the module that contains this address is displayed. If Address contains an expression, it must be enclosed in parentheses. |
|
|
地下室#
发布于：2008-10-17 22:56
方法很多，上边说了几种，下面在补充些
你也可以在这个地方下个断点，然后单步调试下就知道 还可以找个工具查看下 ............... |
|
|
