这是有关windows里的user32. dll和kernel.dll基址的问题。先以 user32. dll为例（ kernel..dll也发生同样的情况）在 WinXP里一切正常，可以看出在 od里和在 PEinfo程序里所显示的基址是相同的。

但在 Win8里od和 PEinfo所显示的基址不一样，这是为什么？

 PEinfo程序所显示的基址是根据 API定义得出的，od也应该用了同样 API定义，但为什么会得出不同的基址？真是令人匪夷所思！
Windows 8.1
File nameC:\WINDOWS\System32\user32.dll
API: IMAGE_NT_HEADERS.OptionalHeader.ImageBase
IMAGE_NT_HEADERS   - ImageBase      0x6BA80000

IMAGE_NT_HEADERS32 - ImageBase      0x6BA80000

Od和PEinfo都是32位程序，文件user32. Dll显然是32位，这要看 API如可定义。关键是 od的基址是从那来的？

Windows 8.1

File nameC:\WINDOWS\System32\user32.dll

API: IMAGE_NT_HEADERS.OptionalHeader.ImageBase


IMAGE_NT_HEADERS   - ImageBase      0x6BA80000

IMAGE_NT_HEADERS32 - ImageBase      0x6BA80000

IMAGE_NT_HEADERS64 - ImageBase      0x0008A000

[此贴子已经被作者于2022-11-7 19:47编辑过]

在 x32dbg和 x64dbg里查看了 user32. dll的基址，这些基址是怎样得到的？它们是真实的地址吗？

那么你是不是认为只有在上面的 x64dbg里的基址是正确的，如果是这样的，所有的程序只要用到 user32. Dll就会跳转到这个基址。这必须要验证一下。

是32和64位的问题，od和x32 dbg都是32位的程序，所以我们是不是可以说，在64位环境下运行它们所得到的基址都是错误的，另外 PEinfo跟它们一样是32位程序，为什么得到的基址却不一样，最后一个非常现实的问题，在 win8. 1或win10中打开 notepad用的是那个 user32. dll 基址？！