小编cnz*_*lxj的帖子

我试着写一个peloader.我首先将可执行映像及其所有依赖的dll(包括kernel32.dll和ntdll.dll)加载到内存中,处理所有导入地址表,重写所有需要重定位的数据.

然后我按顺序调用所有图像的EntryPoint.我从ntdll.dll的EntryPoint获得返回码0,但kernel32.dll返回0xC0000000.当我试图调用可执行映像的EntryPoint时,程序崩溃了.

我知道Windows系统在创建进程时已经将ntdll.dll和kernel32.dll加载到进程内存中.我的问题是如何将ntdll.dll和kernel32.dll的另一个副本加载到内存中,并将我的模块链接到副本.

我做了一个实验:1.复制ntdll.dll - > a.dll

1. 复制kernel32.dll - > b.dll
2. 修改PE映像文件b.dll使其不依赖于ntdll.dll而是依赖于a.dll
3. 编写一个简单的程序a.exe,并修改PE映像文件a.exe,使其不依赖于kernel32.dll而是b.dll
4. 运行a.exe,程序崩溃了

是否可以使a.exe正确运行？

这是我关于堆栈溢出的第一个问题,对不起我糟糕的英语.谢谢.