.data:00472F20 ; sub_45668E+Bo ...
...
----// SNIP SNIP //-------------------------------------------------

off_472F1C实际上为：

----// SNIP SNIP //-------------------------------------------------
00472F1C A0 AD 80 7C
----// SNIP SNIP //-------------------------------------------------

是指向KERNEL32.DLL!GetProcAddress API函数的指针。在这种情况下，可获得以下重新定向：

1) 7C80ADA0 -> 0080ADA0
2) 7C80ADA0 -> 7C00ADA0
3) 7C80ADA0 -> 7C8000A0
4) 7C80ADA0 -> 7C80AD00

也就是说当WINAMP.EXE试图调用GetProcAddress函数时就会跳到用户所修改的地址。

<*来源：Piotr Bania （bania.piotr@gmail.com）

链接：http://www.piotrbania.com/all/adv/nullsoft-winamp-libsndfile-adv.txt
*>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.piotrbania.com/all/adv/nullsoft-winamp-libsndfile-adv.txt

建议：
--------------------------------------------------------------------------------
厂商补丁：

Nullsoft
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.winamp.com/