對Osloader.exe進行分析 查找e_lfanew，IMAGE_EXPORT_DIRECTORYAddressOfFunctions

1.使用winhex打開從NTLDR中提取出的oslader.exe 2.查找e_lfanew 3.查找IMAGE_EXPORT_DIRECTORY->AddressOfFunctions 通過上圖我們可以得出，導出表的RVA是 000357B0h ，Size是 000006AFh。 我們藉助LordPE可以確定在哪個區段表中， 因爲導出表的RVA是000357B0h 是大於00031000h 但

>>阅读原文<<