Недавнее содержимое от lhc645

  1. lhc645
    Сообщение

    Как компилятор C++ определяет адрес NDIS_MINIPORT_BLOCK ?

    >> Вопрос: что это за указатель и как я могу его найти ? Нужен минипорт. Указатель можно взять из MiniportInitialize...
    Сообщение от: lhc645, 7 фев 2011 в разделе: WASM.NT.KERNEL
  2. lhc645
    Сообщение

    WinDbg отладка user-mode из Kernel-mode бряки?

    проще на точку входа int 3 поставить перед запуском (если свою дебажите). Windbg исправно стопается. Можно при желании конечно и на...
    Сообщение от: lhc645, 4 фев 2011 в разделе: WASM.BEGINNERS
  3. lhc645
    Сообщение

    LdrpFindOrMapDll

    Не приходилось разбираться с этой темой, но 0:000> x ntdll32!*Ldr*Import* 00000000`777de80d ntdll32!LdrpHandleOneOldFormatImportDescriptor = <no...
    Сообщение от: lhc645, 13 янв 2011 в разделе: WASM.WIN32
  4. lhc645
    Сообщение

    Статистика физических адресов таблиц страниц ядра

    VMWare: CR3 value: 0x00122000 PAE: on OS version: 6.0.6001 SP 1.0 client VMWare: CR3 value: 0x00ae2000 PAE: on OS version: 5.1.2600 SP 2.0 client...
    Сообщение от: lhc645, 3 янв 2011 в разделе: WASM.HEAP
  5. lhc645
    Сообщение

    Запуск программы в Windows и её работа

    В этой книге http://www.books.ru/shop/books/331626 , расписано поэтапно создание процесса.
    Сообщение от: lhc645, 14 дек 2010 в разделе: WASM.WIN32
  6. lhc645
    Сообщение

    Вопросы по PEB

    >> А как можно узнать или где то посмотреть,работа каких ф-ций зависит от этих структур? От каких, от RTL_USER_PROCESS_PARAMETERS? Ну например...
    Сообщение от: lhc645, 13 дек 2010 в разделе: WASM.BEGINNERS
  7. lhc645
    Сообщение

    типы параметров для NtGdi*, NtUser*

    В сорцах win2k&nt4 есть, как и сами функции. ntgdi.h - nt4 ntuser.h - win2k http://rghost.net/2907305
    Сообщение от: lhc645, 13 окт 2010 в разделе: WASM.RESEARCH
  8. lhc645
    Сообщение

    получение информации о процессе

    >>а где узнать смещение элемента SeAuditProcessCreationInfo и смещение элемента Name в ней? В windbg dt _EPROCESS. Там и будет смещение. А в...
    Сообщение от: lhc645, 10 окт 2010 в разделе: WASM.NT.KERNEL
  9. lhc645
    Сообщение

    получение информации о процессе

    Можно так (vista,7,xp проверялось) EPROCESS.SeAuditProcessCreationInfo->Name.Buffer (нужно прописать смещение SeAuditProcessCreationInfo). Там...
    Сообщение от: lhc645, 10 окт 2010 в разделе: WASM.NT.KERNEL
  10. lhc645
    Сообщение

    syser установка бряков

    >>как установить бряк в syser именно на ее драйвер? Насколько помню bpload имя_драйвера Это на саму загрузку. Дальше определяются адреса irpmj...
    Сообщение от: lhc645, 1 окт 2010 в разделе: WASM.BEGINNERS
  11. lhc645
    Сообщение

    Исследование недр win

    punxer В WRK этого нет, win2k.
    Сообщение от: lhc645, 23 сен 2010 в разделе: WASM.RESEARCH
  12. lhc645
    Сообщение

    Исследование недр win

    >>знаем егоо номер, знаем что он больше 1000 Первая единица не входит в номер сервиса, она указывает, что сервисная таблица W32pServiceTable (и...
    Сообщение от: lhc645, 23 сен 2010 в разделе: WASM.RESEARCH
  13. lhc645
    Сообщение

    Вирусная аналитика

    RtlLookupFunctionTable (full source ->wrk, правда там для ядра с PsInvertedFunctionTable) сначала находит описание модуля, в котором произошло...
    Сообщение от: lhc645, 22 сен 2010 в разделе: WASM.HEAP
  14. lhc645
    Сообщение

    Вирусная аналитика

    Я правильно понимаю, что исключение произойдет в ntdll? Если так, то вызовется обработчик для функции ntdll из таблицы эксепшенов ntdll, а не...
    Сообщение от: lhc645, 22 сен 2010 в разделе: WASM.HEAP
  15. lhc645
    Сообщение

    Передать сокет в другой процесс?

    >> DuplicateHandle если в системе установлен non-ifs lsp, то это не прокатит.
    Сообщение от: lhc645, 22 сен 2010 в разделе: WASM.NETWORKS