Недавнее содержимое от genesis

  1. genesis
    Сообщение

    Можно ли как-то посмотреть физическую память в windbg?

    спасибо
    Сообщение от: genesis, 6 сен 2009 в разделе: WASM.NT.KERNEL
  2. genesis
    Тема

    Можно ли как-то посмотреть физическую память в windbg?

    сабж
    Автор темы: genesis, 6 сен 2009, ответов - 2, в разделе: WASM.NT.KERNEL
  3. genesis
    Сообщение

    как получить нотификацию о создании \\Device\\WinDfs\\Root ?

    неа, кроме этого мы делаем еще много чего, и много интересного в системе можно так пропустить...
    Сообщение от: genesis, 14 янв 2009 в разделе: WASM.NT.KERNEL
  4. genesis
    Тема

    как получить нотификацию о создании \\Device\\WinDfs\\Root ?

    Всем доброго времени суток. очень хочется стать(сесть, лечь) фильтром на сей чудный девайс ))) Что в общем сделать совершенно не сложно -...
    Автор темы: genesis, 13 янв 2009, ответов - 3, в разделе: WASM.NT.KERNEL
  5. genesis
    Сообщение

    Перехватчик функций ядра

    утилиты - не знаю, можно самому похучить нужные функции, но вот как узнать какой это драйвер?
    Сообщение от: genesis, 25 дек 2008 в разделе: WASM.NT.KERNEL
  6. genesis
    Сообщение

    Получение имени модуля (а именно: имени exe)

    круто! особенно насчет NtBuildNumber == 2195 ))) мы это делаем для всех w2k - тоже как то работает. насчет 0x3e8 - пасип, обязательно проверю...
    Сообщение от: genesis, 25 дек 2008 в разделе: WASM.NT.KERNEL
  7. genesis
    Сообщение

    Получение имени модуля (а именно: имени exe)

    не, для w2k там его нет вообще. ;) там есть SectionHandle. но он иногда невалидный, (иногда просто равен 4 - очень часто, а иногда - 0x3e8)
    Сообщение от: genesis, 23 дек 2008 в разделе: WASM.NT.KERNEL
  8. genesis
    Сообщение

    Отладка на удалённой VmWare

    мне проще так - запуск сервера на той машине, где VmWare запущена (к ней, соответственно, настроен доступ через пайпу) - kdsrv -t tcp:port=PORT...
    Сообщение от: genesis, 23 дек 2008 в разделе: WASM.NT.KERNEL
  9. genesis
    Сообщение

    Получение имени модуля (а именно: имени exe)

    0. Получить EPROCESS по PID - PsLookupProcessByProcessId 1. Получить объект секции. для хр и далее - SectionObject присутствует в EPROCESS,...
    Сообщение от: genesis, 22 дек 2008 в разделе: WASM.NT.KERNEL
  10. genesis
    Тема

    Как определить является ли file_object файлом десктопа?

    Всем привет. Хочется определить (в драйвере) по file_object, является ли файл папкой рабочего стола. (как например "C:\Documents and...
    Автор темы: genesis, 22 дек 2008, ответов - 2, в разделе: WASM.NT.KERNEL
  11. genesis
    Сообщение

    Не весь ntos модуль промаплен под w2k3

    да, правильный путь - парсить РЕ заголовок, брать оттуда смещения секций, складывать с имеющимся адресом модуля в памяти, и искать в секции... Все...
    Сообщение от: genesis, 21 дек 2007 в разделе: WASM.NT.KERNEL
  12. genesis
    Сообщение

    Не весь ntos модуль промаплен под w2k3

    8067f000 - там начинаеться первая выгруженная страница... мда, раз кода нет - то и искать там нечего... можно перебрать секции и проверять...
    Сообщение от: genesis, 21 дек 2007 в разделе: WASM.NT.KERNEL