利用API引进ntdll

最新推荐文章于 2024-06-15 16:46:40 发布

HDO清风

最新推荐文章于 2024-06-15 16:46:40 发布

阅读量99

点赞数 1

分类专栏：逆向文章标签： c++ 开发语言

本文链接：https://blog.csdn.net/qq_73667990/article/details/129673637

版权

逆向专栏收录该内容

30 篇文章 0 订阅

订阅专栏

HMODULE GetModuleHandleA(
  [in, optional] LPCSTR lpModuleName
);

获取指定模块的句柄

FARPROC GetProcAddress(
  [in] HMODULE hModule,
  [in] LPCSTR  lpProcName
);

从指定的动态链接库 (DLL) 检索导出函数 (也称为过程) 或变量。
例如：我想导出NtSetInformationFile函数

sub_1400016B3(const CHAR *a1)
{
  HMODULE ModuleHandleA; // rax
  ModuleHandleA = GetModuleHandleA("ntdll");
  return GetProcAddress(ModuleHandleA, a1);
}
int main
{
	v17 = sub_1400016B3("NtSetInformationFile");
	v14 = v17(hObject, 参数1, 参数2, 参数3, 参数4);
}

其中NtSetInformationFile函数

//把文件挂上删除队列
ntAux = pfNtSetInformationFile(hTargetFile, &stIOStatus, &stFileInfo, sizeof(stFileInfo), FILE_INFORMATION_CLASS::FileDispositionInformation);