18630145849 发表于 2021-11-29 10:55:55

Win32汇编 dll注入不理解的问题

                .const
szErrOpen        db        '无法打开远程线程!',0
szDesktopClass        db        'Progman',0
szDesktopWindow        db        'Program Manager',0
szDllKernel        db        'Kernel32.dll',0
szLoadLibrary        db        'LoadLibraryA',0
szMyDll                db        '\Dll.dll',0
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
; 代码段
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
                .code
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
start:
;********************************************************************
; 准备工作：获取dll的全路径文件名、获取LoadLibrary函数地址等
;********************************************************************

1:                invoke        GetModuleHandle,addr szDllKernel
2:                invoke        GetProcAddress,eax,offset szLoadLibrary
3:                mov        lpLoadLibrary,eax

4:                invoke        CreateRemoteThread,hProcess,NULL,0,lpLoadLibrary,lpDllName,0,NULL

不太理解第4行，创建一个远程线程加载Dll.dll 库，lpDllName 是目标进程申请的内存块地址，lpLoadLibrary 指向的线程函数地址也要是 位于目标进程的地址空间内，
但是通过1,2,3行的代码来看，获取的是当前进程内的 LoadLibraryA 所在的地址。难道不同进程同一个DLL 文件载入内存后 函数所在地址相同？
                       

18630145849 发表于 2021-11-29 10:58:45

{:10_254:}

18630145849 发表于 2021-11-29 11:31:30

已解决，通过百度发现 确实是一样的，但是每次系统重启后，这个基地址会随机变化。

18630145849 发表于 2021-11-29 11:32:12

https://www.pianshen.com/article/86921441404/
页: [1]
查看完整版本: Win32汇编 dll注入不理解的问题