Недавнее содержимое от 90210

  1. 90210
    Сообщение

    персональное ядро

    cresta Касперский копирует sdt в свою память, увеличивая limit и добавляя в таблицу свои сервисы. То есть KeServiceDescriptorTable.Base меняется...
    Сообщение от: 90210, 30 янв 2006 в разделе: WASM.WIN32
  2. 90210
    Сообщение

    персональное ядро

    cresta http://www.wasm.ru/forum/index.php?action=vthread&forum=4&topic=11840&page=0
    Сообщение от: 90210, 24 янв 2006 в разделе: WASM.WIN32
  3. 90210
    Сообщение

    Перенос вызовов ntoskrnl.exe

    ECk http://www.rootkit.com/vault/90210/phide2.zip src\engines\pullout\ Saint German Я когда-то говорил, что работа с релоками в...
    Сообщение от: 90210, 9 окт 2005 в разделе: WASM.WIN32
  4. 90210
    Сообщение

    Перенос вызовов ntoskrnl.exe

    http://www.rootkit.com/newsread.php?newsid=196
    Сообщение от: 90210, 8 окт 2005 в разделе: WASM.WIN32
  5. 90210
    Сообщение

    irq1handler и номер вектора

    Смотри байтовый массив HalpSourceIrqMapping для соответствия. Невразумительный пример поиска этого массива по сигнатуре есть здесь:...
    Сообщение от: 90210, 15 авг 2005 в разделе: WASM.WIN32
  6. 90210
    Сообщение

    Как на асме изменить MAC адрес?

    Можно сэмулировать замену мака - будет работать на любых сетевухах. Карта переводится в promiscuous mode. Берется intermediate ndis драйвер, или...
    Сообщение от: 90210, 25 апр 2005 в разделе: WASM.NETWORKS
  7. 90210
    Сообщение

    Запуск процесса в ring-0. Как?

    Все можно сделать без хуков. Достаточно поймать хороший поток и назначить ему APC. Например, так: Kernel-mode backdoors for Windows NT
    Сообщение от: 90210, 14 янв 2005 в разделе: WASM.WIN32
  8. 90210
    Сообщение

    Драйвер виртуального диска, кто видел?

    http://www.acc.umu.se/~bosse/filedisk.zip
    Сообщение от: 90210, 14 дек 2004 в разделе: WASM.WIN32
  9. 90210
    Сообщение

    Экран смерти и драйвера

    В синий экран можно вывалить и из r3 с помощью NtRaiseHardError(). Его использует csrss когда показывает STATUS_SYSTEM_PROCESS_TERMINATED....
    Сообщение от: 90210, 24 ноя 2004 в разделе: WASM.ASSEMBLER
  10. 90210
    Сообщение

    Хук на контекста потока планировщиком.

    Detecting Hidden Processes by Hooking the SwapContext Function PavPS Только в checked билде.
    Сообщение от: 90210, 13 окт 2004 в разделе: WASM.WIN32
  11. 90210
    Сообщение

    simple, but advanced procviewer

    Хорошо ты пошутил. Это в юзермоде-то? :) Если какой-нибудь r0 хук подменяет содержимое ntdll.dll при чтении, то хуки ты не сможешь обойти....
    Сообщение от: 90210, 6 окт 2004 в разделе: WASM.WIN32
  12. 90210
    Сообщение

    Вопрос о 'печати Баала'...

    И метку 'DanS' тоже прятали: mov eax, const1 ; 0F93BF822h xor eax, edi ; edi==дворд после Rich...
    Сообщение от: 90210, 24 сен 2004 в разделе: WASM.ASSEMBLER