如何使用ntoskrnl.exe的基地址计算函数的地址
这是我到目前为止在测试机器上确定的：
- ntoskrnl.exe 的基地址是 0xFFFFF802C8803000
- 使用 IDA 图像库的地址是 0x0000000140000000
- 使用 IDA 函数的地址是 0x00000001401422D0
- 偏移量（3 减 2）确定为0x1422d0
- 函数地址被确定为 0xFFFFF802C8803000 + 0x1422d0 = 0xfffff802c89452d0
- Windbg 说地址是 0xfffff802c89454d0
上述计算正确吗？请告诉我我做错了什么？
This is what I have determined thus far on a test machine:
- base address of ntoskrnl.exe is 0xFFFFF802C8803000
- using IDA the address of the imagebase is 0x0000000140000000
- using IDA the address of the function is 0x00000001401422D0
- the offset (3 subtract 2) is determined to be 0x1422d0
- the function address is determined to be 0xFFFFF802C8803000 + 0x1422d0 = 0xfffff802c89452d0
- Windbg says the address is 0xfffff802c89454d0
Is the above calculations correct ? Please tell me what I'm doing wrong ?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
感谢 Neitsa 找到了解决方案。我正在使用两个不同版本的 ntoskrnl.exe，一个版本用于 Windbg，另一个版本用于 IDA Free。
Found the solution thanks to Neitsa. I was working with two different versions of ntoskrnl.exe one version for Windbg and the other version with IDA Free.