Search Results

Search Again
Page 1 of 2
  1. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Итог: в трезвом уме перечитав вот этот блог получил вот этот код на родном С++ undoc::PETHREAD pEThread = (undoc::PETHREAD)PsGetCurrentThread();...
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  2. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    хм... все таки в ebx не адрес оригинального обработчика =) там же адрес текущего... В Shadow XP еще 667 NtGdi и NtUser сервисов которые с...
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  3. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Только сейчас дошло - индекс вообще ненужен получается =)
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  4. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Да ассемблерную вставку то без проблем, если это поможет. Я сейчас ebx так и извлекаю: __asm { mov SavedEbx, ebx }
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  5. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Пробовал вот так PETHREAD pEThread = PsGetCurrentThread(); PKTHREAD pKThread = &pEThread->Tcb; PKTRAP_FRAME pKTrapFrame =...
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  6. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Ну в общем Ваш код работает, но это ведь получается почти то же самое что ULONG GetId(ULONG ebx) { ULONG n =...
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  7. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Все равно непонятно как это должно работать (с ассемблером не дружу к сожалению) если вот так: sub edi,dword ptr ds:[pSST] mov ecx,dword ptr...
    Post by: m0zg, Jun 3, 2011 in forum: WASM.NT.KERNEL
  8. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Пока что работает только вот так: ULONG Id; ULONG SavedEbx = 0; __asm { mov SavedEbx, ebx } ULONG n =...
    Post by: m0zg, Jun 2, 2011 in forum: WASM.NT.KERNEL
  9. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    А не подскажете как это дело перевести на C или хотя бы asm? Просто я про трап фрейм (Т-фрейм?) впервые слышу...
    Post by: m0zg, Jun 2, 2011 in forum: WASM.NT.KERNEL
  10. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Теперь Вы сомневаетесь? Думаю если система знала какой сейчас надо вызвать адрес из таблицы, значит и индекс где-то хранится. Как минимум вроде...
    Post by: m0zg, Jun 2, 2011 in forum: WASM.NT.KERNEL
  11. m0zg
    Post

    Получение индекса текущего сервиса SSDT внутри его обработчика

    А если все обработчики будут мои, он все равно может оказаться не первым? Собственно, если предположить, что он будет первый, то где смотреть индекс?
    Post by: m0zg, Jun 2, 2011 in forum: WASM.NT.KERNEL
  12. m0zg
    Thread

    Получение индекса текущего сервиса SSDT внутри его обработчика

    Добрый день! Пытаюсь сделать один свой обработчик на несколько сервисов SSDT с одинаковым числом аргументов. Массив оригинальной ServiceTable...
    Thread by: m0zg, Jun 2, 2011, 37 replies, in forum: WASM.NT.KERNEL
  13. m0zg
    Post

    Получение данных от NtQueryVirtualMemory и т.п. в KernelMode

    В первом посте во втором варианте как раз пытался это осуществить....
    Post by: m0zg, Jun 1, 2011 in forum: WASM.NT.KERNEL
  14. m0zg
    Post

    Получение данных от NtQueryVirtualMemory и т.п. в KernelMode

    Попробовал сделать так: pBuffer = ExAllocatePoolWithTag(PagedPool, PAGE_SIZE, 0); pMdl = IoAllocateMdl(pBuffer, PAGE_SIZE, FALSE, FALSE,...
    Post by: m0zg, May 31, 2011 in forum: WASM.NT.KERNEL
  15. m0zg
    Post

    Получение данных от NtQueryVirtualMemory и т.п. в KernelMode

    А Вы второй пример смотрели? я там уже использовал ZwAllocateVirtualMemory. Память выделяется - толку нет.
    Post by: m0zg, May 31, 2011 in forum: WASM.NT.KERNEL
  16. m0zg
    Thread

    Получение данных от NtQueryVirtualMemory и т.п. в KernelMode

    Поставил хук на NtQueryVirtualMemory в ядре. В обработчике нужно вызвать оригинальную ф-цию с классом информации MemoryMappedFilenameInformation,...
    Thread by: m0zg, May 31, 2011, 6 replies, in forum: WASM.NT.KERNEL
  17. m0zg
    Post

    Загрузка драйвера из NamedPipe с помощью ZwLoadDriver

    http://www.wasm.ru/print.php?article=injected_evil "...хукаем в своем процессе из NTDLL - ZwCreateSection, ZwQuerySection и создаем процесс с...
    Post by: m0zg, Jul 3, 2009 in forum: WASM.WIN32
  18. m0zg
    Post

    Загрузка драйвера из NamedPipe с помощью ZwLoadDriver

    Ну ZwCreateSection из NTDLL вроде как под юзером перехватывается при создании процесса... Вобщем жаль что дохлый номер, хотя ничего криминального...
    Post by: m0zg, Jul 2, 2009 in forum: WASM.WIN32
  19. m0zg
    Post

    Загрузка драйвера из NamedPipe с помощью ZwLoadDriver

    NTSTATUS ZwCreateSection( OUT PHANDLE SectionHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes...
    Post by: m0zg, Jul 2, 2009 in forum: WASM.WIN32
  20. m0zg
    Post

    Загрузка драйвера из NamedPipe с помощью ZwLoadDriver

    Да, точно, зарегил ImagePath как \??\pipe\ndisuio.sys - теперь ZwLoadDriver попыталась загрузить, но выдала ошибку "STATUS_DRIVER_UNABLE_TO_LOAD...
    Post by: m0zg, Jul 2, 2009 in forum: WASM.WIN32
Showing results 1 to 20 of 21 Next >
Search Again
Page 1 of 2