有一个EXE已经被我读到内存里了,现在想不借助硬盘运行它,可以吗??
解决方案 »
- DateTimeToStr(StartOfTheDay(Now))显示问题
- 关于stringgrid重画的问题
- 提问:在FormCreate,formshow 时可不可以中途退出程序
- [在线等待]SQL Server2000只能利用至强CPU资源的5%
- 求助:以前的c/s系统是Delphi2做的,现在升级要改用Delphi5来做了,请问应注意什么呢?
- 我操,一帮菜鸟,连DevExpress printsystems打印DevExpress QuantumGrid怎样加报表头都不知道!!!
- 关于菜单的设计
- 全局变量的使用与面向对象的讨论。
- 高手请进!控件错位问题?在线等!
- 如何连接远程数据库(ADO)
- 改文件名应该很简单,可我就试不出来
- 寻找PANEL控件
能再详细一点吗??我也看了CreateProcess,好像不可以阿
线程、文件、事件、互斥量等)的句柄。此HANDLE值仅仅是句柄表的
一个索引值。下面讨论一下进程句柄表相关结构以及一个应用例子:
向一个正运行程序的文件Write。 一、Windows98、WindowsNT(NT未验证):句柄表的格式为一个DWORD
指明大小,后跟若干项,每项两DWORD:内核对象指针与标志掩码。98上的例子:PHT Address = 0x8162C628
Flag=0 Handle=0
Flag=0x1F0FFF Handle=0x8162C5E4
......顺便说一句,第一项未用,第二项即为该进程句柄。0x8162C5E4即是
该进程数据库地址。 二、Windows 2000:为了防止拷贝费时,Windows2000用一个三
级表来寻找对应项。(就可以在扩充时只用分配新内存而无需拷贝原
来各项。) 1、首先,EPROCESS中的ObjectHandle指向表头:
struct _OBJECT_TABLE{
ULONG Unkown1;//总为0
ULONG HandleCount;//所有有效项数
PVOID PAT;//最高级指针
PEPROCESS ThisProcess;
ULONG Unknown2;
ULONG Unknown3;
ULONG TotalCount;//纪录第三级表分配的内存
//可容多少项
LIST_ENTRY link;
......//??上面的名字随便取的
}_HANDLE_TABLE;例子:00 00 00 00 27 00 00 00-00 D0 3B E1 20 24 85 FE
04 02 00 00 00 1E 00 00-00 01 00 00 00 F3 CE FE
68 DD 87 FE 00 00 00 00-00 00 00 00 00 00 00 00
......
2、上面的PAT就是一个指针数组,有256项,每项指向中级表PMT
例子:00 D4 3B E1 00 00 00 00-00 00 00 00 00 00 00 00
......
3、PMT与PAT类似,指向次级表PLT。
例子:00 D8 3B E1 00 00 00 00-00 00 00 00 00 00 00 00
......
4、PLT中每项8字节,其中第一个DWORD为内核对象的指针稍加修改,
第二项也是标志掩码。 第一个表项未用,总为00 00 00 00 01 00 00 00,最后以项初
始化为00 00 00 00 FF FF FF FF,表结束。例子:00 00 00 00 01 00 00 00-58 42 2D 61 1F 00 0F 00
48 3F F4 7E 03 00 10 00-E8 F0 C4 7E 03 00 10 00
......
00 00 00 00 31 00 00 00-00 00 00 00 32 00 00 00
......
00 00 00 00 FF 00 00 00-00 00 00 00 FF FF FF FF每项格式很清楚(见InsideWindows2000),内核对象头可由第一个DWORD
与0x80000000相或(低三位清为0)。内核对象头开始两DWORD为句柄计数
与引用计数等等,对象头偏移0x18处(未查过所有对象类型)即为实际的
内核对象。
从内存访问上也是不可能的。
因为你不光要处理pe文件的节(section)在文件中的对齐粒度和在内存粒度的区别,还要处理重定位,但exe文件大都是没有重定位信息的。你exe文件中的代码地址都是基于$400000的。举一个例子:我假设exe文件A被你的进程B读到B的进程空间,exe文件所处的地址为$600000,那么在exe文件中mov [40100],EAX的这个指令就访问了错地址。这个指令应该是mov [60100],EAX才是正确的。