Mov rcx, 060h
mov rax, gs:[rcx]
ret
Как с таким оффсетом и дескриптором,
на который указывает gs ( на скрине его содержимое ), получается адрес 7c5a4ff000 (PEB) ? А то я чет не понимаю, по мануалам вроде оффсет складывается с базой сегмента, а тут она по нолям же.
я понял, почему, потому что база сегментного дескриптора ( на который указывает GS ) грузится не в GDT, а в MSR. Т.е. при обращении gs:[offset] оно каждый раз делает readmsr