WASM.NT.KERNEL Работа в нулевом кольце и создание драйверов ядра Windows Wed, 13 May 2026 15:56:51 +0000 Wed, 13 May 2026 15:56:51 +0000 WASM https://wasm.in/forums/wasm-nt-kernel.17/ Операции с памятью загруженных драйверов Wed, 08 Apr 2026 11:02:28 +0000 https://wasm.in/threads/operacii-s-pamjatju-zagruzhennyx-drajverov.34155/ https://wasm.in/threads/operacii-s-pamjatju-zagruzhennyx-drajverov.34155/ invalid@example.com (Entropy) Entropy 23 Корректный ли это способ хука NtQueryPerformanceCounter, чтобы возвращать rdtsc напрямую? Thu, 26 Mar 2026 13:18:50 +0000 https://wasm.in/threads/korrektnyj-li-ehto-sposob-xuka-ntqueryperformancecounter-chtoby-vozvraschat-rdtsc-naprjamuju.35357/ https://wasm.in/threads/korrektnyj-li-ehto-sposob-xuka-ntqueryperformancecounter-chtoby-vozvraschat-rdtsc-naprjamuju.35357/ invalid@example.com (zky02) zky02
Код (Text):
  1. NTSTATUS HookedNtQueryPerformanceCounter3(
  2.     PLARGE_INTEGER PerformanceCounter,
  3.     PLARGE_INTEGER PerformanceFrequency)
  4. {
  5.     static bool initialized = false;
  6.  
  7.     if (!initialized) {
  8.         // Однократное исправление SharedUserData
  9.         __try {
  10.             // Сбросить флаг Qpc bias
  11.             *(BYTE*)(&SharedUserData->QpcData) = *(BYTE*)(&SharedUserData->QpcData) & 0xFFFE;
  12.  
  13.             //...
Корректный ли это способ хука NtQueryPerformanceCounter, чтобы возвращать rdtsc напрямую?]]> 14 Серия calls Sun, 21 Dec 2025 18:27:43 +0000 https://wasm.in/threads/serija-calls.35346/ https://wasm.in/threads/serija-calls.35346/ invalid@example.com (Ahimov) Ahimov
В ядре 10 на ISR:

KiRaiseSecurityCheckFailure
KiRaiseAssertion
KiDebugServiceTrap

Есть чудо код, зачем это сделано загадка, я даже не могу предположить :scratch_one-s_head:

Код (Text):
  1. .text:000000014041010B loc_14041010B:
  2. .text:000000014041010B                 add     rsp, 8
  3. .text:000000014041010F                 call    loc_140410102
  4. .text:0000000140410114
  5. .text:0000000140410114 loc_140410114:
  6. .text:0000000140410114                 add     rsp, 8
  7. .text:0000000140410118...
Серия calls]]> 41 Как объяснить системе, что я создал диск? Mon, 30 Jun 2025 21:57:55 +0000 https://wasm.in/threads/kak-objasnit-sisteme-chto-ja-sozdal-disk.35567/ https://wasm.in/threads/kak-objasnit-sisteme-chto-ja-sozdal-disk.35567/ invalid@example.com (Shadowraptor) Shadowraptor Через IoCreateDevice с параметром FILE_DEVICE_UNKNOWN создаю девайс, делаю симлинк. И всё работает, из пользовательского пространства функции дергаются параметры передаются и принимаются. Дальше захотелось чтобы для системы это был не непонятный девайс, а допустим диск поменял тип...

Как объяснить системе, что я создал диск?]]> 3 Ресурсы устройства Sun, 04 May 2025 10:30:57 +0000 https://wasm.in/threads/resursy-ustrojstva.35352/ https://wasm.in/threads/resursy-ustrojstva.35352/ invalid@example.com (Entropy) Entropy 1 GMEREK Systemy Komputerowe Przemyslaw Gmerek или как Gmer убивает процесс Tue, 22 Apr 2025 22:14:41 +0000 https://wasm.in/threads/gmerek-systemy-komputerowe-przemyslaw-gmerek-ili-kak-gmer-ubivaet-process.35337/ https://wasm.in/threads/gmerek-systemy-komputerowe-przemyslaw-gmerek-ili-kak-gmer-ubivaet-process.35337/ invalid@example.com (galenkane) galenkane Как Gmer убивает защищенные процессы (вроде руткитов!) - Заглянем под капот
Привет всем!
Многие из нас использовали Gmer для поиска и удаления всякой заразы, особенно руткитов. Но задумывались ли вы, как ему удается прибить те процессы, которые намертво сопротивляются стандартному Диспетчеру задач Windows? Руткиты и другие хитрые зловреды часто используют механизмы защиты, чтобы их нельзя было просто так завершить. Давайте разберемся, как Gmer обходит эту защиту с помощью своего...

GMEREK Systemy Komputerowe Przemyslaw Gmerek или как Gmer убивает процесс]]> 10 Чтение KeServiceDescriptorTable для взаимодействия между ядром и пользовательским режимом" Sun, 15 Dec 2024 15:00:38 +0000 https://wasm.in/threads/chtenie-keservicedescriptortable-dlja-vzaimodejstvija-mezhdu-jadrom-i-polzovatelskim-rezhimom.35230/ https://wasm.in/threads/chtenie-keservicedescriptortable-dlja-vzaimodejstvija-mezhdu-jadrom-i-polzovatelskim-rezhimom.35230/ invalid@example.com (zky02) zky02 3 Перечисление процессов в ядре Sat, 30 Nov 2024 13:46:54 +0000 https://wasm.in/threads/perechislenie-processov-v-jadre.35222/ https://wasm.in/threads/perechislenie-processov-v-jadre.35222/ invalid@example.com (Marylin) Marylin Win7-x64. Задача - драйвером перечислить все активные процессы, и вытащить из их структур EPROCESS по несколько полей. Для этого функцией MmGetSystemRoutineAddress() читаю значение переменной ядра "PsInitialSystemProcess", и начиная с процесса System двигаюсь вперёд по линкам "EPROCESS.ActiveProcessLinks".

Всё работает нормально до тех пор, пока сделав полный круг не упираюсь в предыдущий от System самый первый "процесс бездействия" Idle, чтение из которого...

Перечисление процессов в ядре]]> 7 запустить таймер в ядре на 24 часа Mon, 05 Aug 2024 03:32:36 +0000 https://wasm.in/threads/zapustit-tajmer-v-jadre-na-24-chasa.35115/ https://wasm.in/threads/zapustit-tajmer-v-jadre-na-24-chasa.35115/ invalid@example.com (zky02) zky02
Код (Text):
  1. #define TIMER_QUERY_STATE    0x0001
  2. #define TIMER_MODIFY_STATE    0x0002
  3. #define TIMER_ALL_ACCESS    (STANDARD_RIGHTS_REQUIRED|SYNCHRONIZE|TIMER_QUERY_STATE|TIMER_MODIFY_STATE)
  4. #define SECONDS_IN_24_HOURS 24 * 60 * 60
Код (Text):
  1. NTSTATUS...
запустить таймер в ядре на 24 часа]]> 3 читать на ядре 0 в Kernel Force Thu, 11 Jul 2024 15:39:07 +0000 https://wasm.in/threads/chitat-na-jadre-0-v-kernel-force.35016/ https://wasm.in/threads/chitat-na-jadre-0-v-kernel-force.35016/ invalid@example.com (zky02) zky02
Код (C++):
  1. class TSingleProcessorMode
  2. {
  3.     KDPC DpcTraps[MAXIMUM_PROCESSORS];
  4.     volatile LONGLONG Stall;
  5.     unsigned __int64 cr9;
  6.     KPRIORITY SavedPriority;
  7.     int  CpuCount;
  8.     static void DpcRoutine(KDPC* pDpc, void* pContext, void* pArg1, void* pArg2);
  9. public:
  10.     void Initialize();
  11.     void Enter();
  12.     void Exit();
  13. };
  14.  
  15. void TSingleProcessorMode::Initialize()
  16. {
  17.     RtlZeroMemory(this, sizeof(TSingleProcessorMode));
  18.     CpuCount =...
читать на ядре 0 в Kernel Force]]> 18 включить SSE в ядре Mon, 08 Jul 2024 12:48:53 +0000 https://wasm.in/threads/vkljuchit-sse-v-jadre.35123/ https://wasm.in/threads/vkljuchit-sse-v-jadre.35123/ invalid@example.com (zky02) zky02
  1. "Очистить бит CR0.EM (бит 2) [CR0 &= ~(1 << 2)]"
  2. "Установить бит CR0.MP (бит 1) [CR0 |= (1 << 1)]"
  3. "Установить бит CR4.OSFXSR (бит 9) [CR4 |= (1 << 9)]"
  4. "Установить бит CR4.OSXMMEXCPT (бит 10) [CR4 |= (1 << 10)]"
Это правильный подход?
Код (C++):
  1. VOID EnableSSE()
  2. {
  3.     ULONG64 cr0, cr4;
  4.     cr0 = __readcr0();
  5.  
  6.     cr0 &= ~(1ull << 2);
  7.     cr0 |= (1ull << 1);...
включить SSE в ядре]]> 11 Я хочу внести патч для управления мышью из драйвера win32kbase.sys Thu, 09 May 2024 12:41:27 +0000 https://wasm.in/threads/ja-xochu-vnesti-patch-dlja-upravlenija-myshju-iz-drajvera-win32kbase-sys.35086/ https://wasm.in/threads/ja-xochu-vnesti-patch-dlja-upravlenija-myshju-iz-drajvera-win32kbase-sys.35086/ invalid@example.com (zky02) zky02
[​IMG]


[​IMG]

Здесь в XP x86 функция GetMouseCoord патчится следующим...

Я хочу внести патч для управления мышью из драйвера win32kbase.sys]]> 5 Вопрос о регистре MSR 0xCE для определения частоты RDTSC Sun, 28 Apr 2024 15:19:46 +0000 https://wasm.in/threads/vopros-o-registre-msr-0xce-dlja-opredelenija-chastoty-rdtsc.35079/ https://wasm.in/threads/vopros-o-registre-msr-0xce-dlja-opredelenija-chastoty-rdtsc.35079/ invalid@example.com (zky02) zky02
Код (Text):
  1. long long freq = ((0xFF & (__readmsr(0xCE) >> 8)) * 100000000LL);

В этом коде я считываю значение из MSR, сдвигаю его на 8 бит вправо, применяю маску 0xFF для извлечения определенного...

Вопрос о регистре MSR 0xCE для определения частоты RDTSC]]> 14 Как управлять прерыванием IA32_TSC_DEADLINE в Windows Fri, 12 Apr 2024 12:38:16 +0000 https://wasm.in/threads/kak-upravljat-preryvaniem-ia32_tsc_deadline-v-windows.35071/ https://wasm.in/threads/kak-upravljat-preryvaniem-ia32_tsc_deadline-v-windows.35071/ invalid@example.com (zky02) zky02
Код (Text):
  1. #define IA32_APIC_BASE_MSR 0x1B
  2. #define IA32_TSC_DEADLINE_MSR 0x6E0
  3. #define LOCAL_APIC_LVT_TIMER_OFFSET 0x320
  4. #define LOCAL_APIC_TIMER_MODE_MASK (1 << 17)
  5.  
  6.  
  7. NTSTATUS ReadLocalApicBaseAddress(ULONG64* apic_base_address)
  8. {
  9.         ULONG64 ia32_apic_base = __readmsr(IA32_APIC_BASE_MSR);
  10.         *apic_base_address = ia32_apic_base & 0xFFFFFFFFF000ULL;
  11.         return STATUS_SUCCESS;...
Как управлять прерыванием IA32_TSC_DEADLINE в Windows]]> Создать дамп памяти ядра Ntoskrnl.exe Wed, 27 Mar 2024 09:54:33 +0000 https://wasm.in/threads/sozdat-damp-pamjati-jadra-ntoskrnl-exe.35060/ https://wasm.in/threads/sozdat-damp-pamjati-jadra-ntoskrnl-exe.35060/ invalid@example.com (Marylin) Marylin Возникла необходимость из драйвера сдампить процесс Ntoskrnl, чтобы получить значения неэкспортирумых им переменных. Возможно-ли это в современных системах х64, ведь начиная вроде с Win8 появились сторожа типа KVAS (Kernel Virtual Address Shadow, затенение памяти ядра), и прочие. Так-же слышал, что ядро закрывает к себе доступ через мутанта (мьютекс), и чтобы сбросить его, нужно найти хэндл этого мутанта. Надеюсь не всё так плохо, и варианты получить дамп всё-же имеются? Мой...

Создать дамп памяти ядра Ntoskrnl.exe]]> 34 Помощь нужна с ZwReadFile Mon, 14 Aug 2023 15:05:37 +0000 https://wasm.in/threads/pomosch-nuzhna-s-zwreadfile.33367/ https://wasm.in/threads/pomosch-nuzhna-s-zwreadfile.33367/ invalid@example.com (FoxB) FoxB
помогите порешать проблему. Делаю эмулятор flash-накопителя на базе vusb-based эмуля.
Максимальный объем данных для чтения 65536 байт - сделан буфер UCHAR ucDataPBP[65536]={0}; адрес которого передается в подпрограмму чтения (обертка
Код (C):
  1.  MMC_ReadBlock(&ucDataPBP[0], uiFileOffset, min(ucRead,65536));.
Адаптировал команды scsi, но есть одно НО - с ZwReadFile().

в обработчике команд все хорошо и для SCSI_OP_READ_10 вычисляю длину блока данных для чтения и...

Помощь нужна с ZwReadFile]]> 53 Как получить список задействованных драйверов при помощи WinDbg? Wed, 22 Mar 2023 18:11:14 +0000 https://wasm.in/threads/kak-poluchit-spisok-zadejstvovannyx-drajverov-pri-pomoschi-windbg.34709/ https://wasm.in/threads/kak-poluchit-spisok-zadejstvovannyx-drajverov-pri-pomoschi-windbg.34709/ invalid@example.com (flammmable) flammmable статье Майкрософта есть такая картинка:

[​IMG]

Я хотел бы получить подобный стек/список драйверов, задействованных в работе конкретного устройства. Здесь, на WASM, посоветовали использовать для получения данного стека утилиту WinDbg. Я спросил на...

Как получить список задействованных драйверов при помощи WinDbg?]]> 4 Чем посмотреть задействованные драйверы? Sun, 15 Jan 2023 01:56:15 +0000 https://wasm.in/threads/chem-posmotret-zadejstvovannye-drajvery.34705/ https://wasm.in/threads/chem-posmotret-zadejstvovannye-drajvery.34705/ invalid@example.com (flammmable) flammmable 1 Ньюби в сборке драйверов Sun, 27 Nov 2022 18:38:26 +0000 https://wasm.in/threads/njubi-v-sborke-drajverov.33606/ https://wasm.in/threads/njubi-v-sborke-drajverov.33606/ invalid@example.com (LastNoob) LastNoob Скачал XP, загрузил DDK 2600, с трудом собрал программу при помощи утилиты build free.
Далее по книге перешел к этапу загрузки драйвера в систему при помощи модификации реестра.
Вот значение реестра:
[​IMG]
После...

Ньюби в сборке драйверов]]> 21 Получить RIP прерванного ядерного потока из DPC-хэндлера Fri, 28 Oct 2022 05:17:43 +0000 https://wasm.in/threads/poluchit-rip-prervannogo-jadernogo-potoka-iz-dpc-xehndlera.34620/ https://wasm.in/threads/poluchit-rip-prervannogo-jadernogo-potoka-iz-dpc-xehndlera.34620/ invalid@example.com (Andrey333) Andrey333
Собственно сабж. Интересует решение для Windows 10/11 x64. Экспериментирую следующим образом:

В DriverEntry() (IRQL == PASSIVE_LEVEL):
1) Создаю тестовый поток, он начинает крутится в цикле (jmp $), адрес инструкции где он крутится мне в дальнейшем известен. Указатель на его KTHREAD так же известен
2) Делаю задержку 3 сек. Чтобы поток точно успел дойти до jmp $
3) Ставлю DPC в очередь

В одном из DPC-хэндлеров (остальные ждут пока он отработает) (IRQL == DISPATCH_LEVEL):
1)...

Получить RIP прерванного ядерного потока из DPC-хэндлера]]> 3