Mensajes

Ok.. ok Pense que a lo mejor podía usar alguno de esos campos y llegar a la "cadena" argumento.. Solo el "HOLA"

Tal vez podrias comparar con ImagePath ... igual podrian haber mas parametros ... asi que mejor usa la API o implementala 

¿Y que queres? O API o a mano, otra no queda   Capaz alguien ya lo hizo, busca por ahi, alguna RTL ...

El campo coincide exactamente, es el tamaño en BYTEs y en Unicode cada caracter ocupa dos BYTEs, son 43 caracteres y 86 bytes (no incluye 0 terminador).

Bueno, tenes el codigo en assembly   Lo unico que hace es trabajar con una ristra de bytes mas conocidos como cadenas  

PD. Ahi tenes un UNICODE_STRING, asi que usa siempre el campo de tamaño correspondiente, no tiene que ser una cadena terminada en 0 a la fuerza.

Podes usar CommandLineToArgvW.

Si es Unicode el fin de la cadena es un doble 0 

De nadas 

Si, todas las direcciones de funciones son offsets que parten de la base de un modulo, CopyFileA/W estan dentro de una sección de codigo de un determinado modulo.

La direccion base de Kernel32.dll deberia ser siempre la misma en todos los procesos, puede cambiar entre diferentes booteos aunque eso es irrelevante para tu caso.

Address Space Layout Randomization (ASLR)
ASLR moves executable images into random locations when a system boots, making it harder for exploit code to operate predictably. For a component to support ASLR, all components that it loads must also support ASLR. For example, if A.exe consumes B.dll and C.dll, all three must support ASLR. By default, Windows Vista and later will randomize system DLLs and EXEs, but DLLs and EXEs created by ISVs must opt in to support ASLR using the /DYNAMICBASE linker option.

Es muy dificil saber que estas haciendo exactamente ... pero si tenes problemas hacela sencilla y llama DOS veces a VirtualAllocEx, una para los datos y otra para el codigo.

Podes usar VirtualAllocEx dos veces, una para el codigo y otra para datos (la estructura, mejor no uses punteros en la misma), WriteProcessMemory y finalmente CreateRemoteThread.

De nadas