对暴搜内存的一些理解

最近在写一些东西，发现对内存的搜索是一种比较有效获取信息的方法，于是乎就有了下文：

 

 

上图是 反汇编 ntfs.sys 中的分发函数设置的部分，通过上边的操作，程序执行初始化，再看下图，是它在内存布局：

 

 

我们发现，方法函数再内存中的布局，是有一定的规律的 都是 C7 46 开头，然后是 4个字节的 XX XX XX XX 的形式，

那么，如果我们得到了这个程序在内存中的基址，我们就可以对一段内存进行搜索，得到我们想要的信息，这个基址就是

PE 文件的可选头的 ImageBase 项，从这开始搜索程序的所占有的内存单元，找到开头是 c7 46 xx xx xx xx 的内容。。。

何时作为结束的标志： 0xb9b8, 可以看到最后的数据。。。。