本文探讨了在x64系统中运行32位程序时，API调用的正常流程与恶意程序的差异。正常情况下，32位NtAllocateVirtualMemory会通过Wow64transition转换到64位版本，然后进行SYSCALL。而恶意程序则直接跳转至64位NtAllocateVirtualMemory执行SYSCALL，绕过了安全检查。此行为涉及处理器模式切换、参数处理和系统调用机制。
在x64跑32位程序，API调用。
正常的程序
32-bit NtAllocateVirtualMemory->Wow64 transition->64-bit NtAllocateVirtualMemory->SYSCALL
恶意的程序
直接调用Jmp 0x33->64-bit NtAllocateVirtualMemory->SYSCALL
x23 = x86 mode
0x33 = x64 mode
处理器一般在x86上
将变量从32位扩展到64位，从堆栈获取参数到寄存器，将所有内容放到合适的地址空间并找到正确的系统调用。
扫一扫
1101
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
