64 비트 PE 주입 - 주입, 이력서 일시 중단

Question

모든,

나는 끝없이 디버깅 응용 프로그램에서이 문제를 알아 내려고 노력하고있어,하지만 난 내 대답을 찾을 수가 없어 (EAX 변화에 64 동등한?) .

내 32 비트 PE 삽입시 주입 된 PE의 새로운 EntryPoint로 결국 EAX를 변경 한 다음 스레드를 다시 시작합니다. 필자는 커널이 엔트리 포인트에 도달하기 위해 EAX를 호출한다고 읽었습니다. (응용 프로그램을 디버깅 할 때 이것을 보지 못했습니다.

그러나 이것이 x64 (모든 레지스터에 대한 시도)에서 가능한지 찾을 수없는 것 같습니다.). 모두 두 가지 질문에 그래서

모든 :

1. 내가
2. 을 디버깅 할 때 전화를 볼 수있는 새를 얻기 위해 레지스터를 변경 사용할 수있는 동일한 방법으로인가 할 수 없기 때문에 커널이 실제로, EAX를 호출합니까 entrypoint가 x64로 실행되거나 예를 들어 의존해야합니다. CreateRemoteThread?

P.S는 : 나는 보안 연구원 : 64에서

Answer 1

RCX 레지스터 스레드의 응용 프로그램 정의 진입 점으로 사용 해요. in x86 - EAX 레지스터가 사용되었습니다. 커널이이 주소를 호출하지 않습니다. 하지만 kernel32.dll