18c0693f

на дне пользовательского


Как мы помним, 666h – это аргументы, переданные "нечестной" копии потока, а 520000h – его стартовый адрес, принадлежащий (если верить карте памяти) блоку памяти, выделенному функцией VirtualAlloc:

Address       Size   Owner         Section       Contains      Type   Access        Initial

400000 1000   va_threa             PE header     Imag   R             RWE

401000 4000   va_threa      .text  code          Imag   R             RWE

405000 1000   va_threa      .rdata imports              Imag   R             RWE

406000 2000   va_threa      .data  data          Imag   R             RWE

410000 2000                                     Map    R             R

51E000 1000                                     Priv   RW     Guar   RW

51F000 1000                       stack of thr  Priv   RW     Guar   RW

520000 1000                                     Priv   RWE           RWE

62E000 1000                                     Priv   RW     Guar   RW