...............

527104427

http://blog.sina.com.cn/a527104427

http://bbs.wuyou.net/forum.php?m ... d=379244&extra=

527104427

此段代码会在 (md)0x300+1 处得到 WINDOWS 的版本号，但本人知识有限，看不出其中的奥妙。

希望C大、P大、S大等众高手修正一下，能加以说明最好。方便大家使用和学习。

此菜单位 于  NTBOOT/NTBOOT.LST/DETECT.LST

sratlf

map --mem ()/windows/system32/version.dll (rd) || map --mem ()/winnt/system32/version.dll (rd)
calc *0x82d0=*0x82d0+*0x82d8-0x800
::0x82d0 rd 设备物理基地址
::0x82d8 rd 设备大小（以字节数表示）
::0x800  2kb大小，即重新设置rd起始地址为最后两KB大小前的位置
calc *0x82d8=0x800
::重新设置rd大小为2K，配合上面一行命令
cat --locate=\0\0\x44\0\0\0 --number=1 (rd)+1 | set skip=
::这个结果为版本号结尾位置
set /a skip=0x%skip%-0x30
::向前回退0x30长度，确定版本号所在范围
::以win7sp1的version.dll为例，此位置开始向后0x30长度内容为(V e r s i o n   6 . 1 . 7 6 0 0 . 1 6 3 8 5     D)
cat --locate=\0\0\0 --skip=%skip% --number=1 (rd)+1 | set skip=
::定位版本号具体位置
::以win7sp1的version.dll为例，此位置开始内容为(   6 . 1 . 7 6 0 0 . 1 6 3 8 5     D...)注：开头含3个\x0
calc *0x82d0=*0x82d0+0x%skip%+3
::重新设置rd起始地址为版本号开始位置。注：加3是为了跳过刚刚得到的地址后面的3个\x0，即此时rd开始内容为(6 . 1 . 7 6 0 0 . 1 6 3 8 5     D...)
call Fn.67 *0x82d0 0x60000 3
::Fn.67 unicode_to_utf8，目的是将结果转换为utf8字符，具体用法不知道。
::猜测是将rd内的内容转为utf8字符，取前三位放置在内存0x60000处，配合下面命令 "cat (md)0x300+1,3 | goto :_" 获取版本号对应的系统名称

sratlf

527104427 发表于 2014-4-25 09:06
此段代码会在 (md)0x300+1 处得到 WINDOWS 的版本号，但本人知识有限，看不出其中的奥妙。

希望C大、P大 ...

对8.1失效的原因是version.dll文件变大了，之前的dll保留最后2kb即可找到版本号，8.1的dll需要保留最后10kb才能找到版本号

527104427

sratlf 发表于 2014-4-25 13:40
对8.1失效的原因是version.dll文件变大了，之前的dll保留最后2kb即可找到版本号，8.1的dll需要保留最后10 ...

果然是这样，测试成功了，多谢S大

sratlf

527104427 发表于 2014-4-25 13:44
果然是这样，测试成功了，多谢S大

或者你可以尝试用下面这段命令  比c大写的通用些  但是执行时间比c大的长

1. map --mem ()/windows/system32/version.dll (rd) || map --mem ()/winnt/system32/version.dll (rd)
   
2. cat --locate=\x50\0\x72\0\x6F\0\x64\0\x75\0\x63\0\x74\0\x56 --number=1 (rd)+1 || echo error && exit 1
   
3. calc *0x82d0=*0x82d0+%?%+30
   
4. calc *0x82d8=0x40
   
5. call Fn.67 *0x82d0 0x60000 3

复制代码

\x50\0\x72\0\x6F\0\x64\0\x75\0\x63\0\x74\0\x56 是 (P r o d u c t V)  本来想搜索ProductVersion的  但是超出cat命令的限制了

527104427

sratlf 发表于 2014-4-25 14:52
或者你可以尝试用下面这段命令  比c大写的通用些  但是执行时间比c大的长

留个记号先