CALL $--qd --ret:&R Kernel32.dll,CreateFileW,$\\.\C:,#0,#3,#0,#3,#0,#0
ENVI$ &C=*12 0
ENVI$ &n=*4 0 //返回字节数
CALL $--qd Kernel32.dll,DeviceIoControl,#%&R%,#2953344,#0,#0,*&C,#12,*&n,#0
== 非0(非空指针)
GETF &C,4#1,&P
ENVI?long &C=&&DeviceNumber:4
ENVI?long &N=&nx
MESS nx:[%&nx%]=n:[%&n?long%] DeviceNumber[%&DeviceNumber%]=C[1]:[%&C?long:~1%]=P:[%&P%]
//nx:[0xC]=n:[0xC] DeviceNumber[0x0]=C[1]:[0x0]=P:[0x00]
========================
2953344 也不说下是什么。 分析了好久 才知道是 IOCTL_STORAGE_GET_DEVICE_NUMBER
|