CDirectory类
通过调用IRtlDirectory接口,我们得到了以下的结论:
IRtlDirectory接口有三个字段:
5a994724 009215f05a9944b0
+0和+2 处是两个虚地址表。
+1 处的内容是CDirectory类的地址。
CDirectory类的地址0x009215f0
位置 | 地址 | 解释 |
0 | 0x00924488 | 未知 |
1 | 0x00000001 | 对象计数 |
2 | 0x009215f0 | 对象自身 |
3 | 0x5ac0b288 | 未知 |
4 | 0x5a9c3c38 | CDirectory vftable { for CSystemObject } |
5 | 0x009194f0 | 0x5a994030 DirectFileSystemProvider vftable |
6 | 0x009194f0 | 同 +5 |
7 | 0x000000c4 | |
8 | 0x00924488 | 同 +0 |
9 | 0x009194f0 | 同 +5 |
10 | 0x0000001a | 目录的字符串 |
11 | 0x0000001a | 是 LUNICODE_STRING 类型 |
12 | 0x00925af0 | 是系统的内部表示形式,称为 NtFilePath |