Search Results

Search Again
Page 1 of 5
  1. lhc645
    Post

    Как компилятор C++ определяет адрес NDIS_MINIPORT_BLOCK ?

    >> Вопрос: что это за указатель и как я могу его найти ? Нужен минипорт. Указатель можно взять из MiniportInitialize...
    Post by: lhc645, Feb 7, 2011 in forum: WASM.NT.KERNEL
  2. lhc645
    Post

    WinDbg отладка user-mode из Kernel-mode бряки?

    проще на точку входа int 3 поставить перед запуском (если свою дебажите). Windbg исправно стопается. Можно при желании конечно и на...
    Post by: lhc645, Feb 4, 2011 in forum: WASM.BEGINNERS
  3. lhc645
    Post

    LdrpFindOrMapDll

    Не приходилось разбираться с этой темой, но 0:000> x ntdll32!*Ldr*Import* 00000000`777de80d ntdll32!LdrpHandleOneOldFormatImportDescriptor = <no...
    Post by: lhc645, Jan 13, 2011 in forum: WASM.WIN32
  4. lhc645
    Post

    Статистика физических адресов таблиц страниц ядра

    VMWare: CR3 value: 0x00122000 PAE: on OS version: 6.0.6001 SP 1.0 client VMWare: CR3 value: 0x00ae2000 PAE: on OS version: 5.1.2600 SP 2.0 client...
    Post by: lhc645, Jan 3, 2011 in forum: WASM.HEAP
  5. lhc645
    Post

    Запуск программы в Windows и её работа

    В этой книге http://www.books.ru/shop/books/331626 , расписано поэтапно создание процесса.
    Post by: lhc645, Dec 14, 2010 in forum: WASM.WIN32
  6. lhc645
    Post

    Вопросы по PEB

    >> А как можно узнать или где то посмотреть,работа каких ф-ций зависит от этих структур? От каких, от RTL_USER_PROCESS_PARAMETERS? Ну например...
    Post by: lhc645, Dec 13, 2010 in forum: WASM.BEGINNERS
  7. lhc645
    Post

    типы параметров для NtGdi*, NtUser*

    В сорцах win2k&nt4 есть, как и сами функции. ntgdi.h - nt4 ntuser.h - win2k http://rghost.net/2907305
    Post by: lhc645, Oct 13, 2010 in forum: WASM.RESEARCH
  8. lhc645
    Post

    получение информации о процессе

    >>а где узнать смещение элемента SeAuditProcessCreationInfo и смещение элемента Name в ней? В windbg dt _EPROCESS. Там и будет смещение. А в...
    Post by: lhc645, Oct 10, 2010 in forum: WASM.NT.KERNEL
  9. lhc645
    Post

    получение информации о процессе

    Можно так (vista,7,xp проверялось) EPROCESS.SeAuditProcessCreationInfo->Name.Buffer (нужно прописать смещение SeAuditProcessCreationInfo). Там...
    Post by: lhc645, Oct 10, 2010 in forum: WASM.NT.KERNEL
  10. lhc645
    Post

    syser установка бряков

    >>как установить бряк в syser именно на ее драйвер? Насколько помню bpload имя_драйвера Это на саму загрузку. Дальше определяются адреса irpmj...
    Post by: lhc645, Oct 1, 2010 in forum: WASM.BEGINNERS
  11. lhc645
    Post

    Исследование недр win

    punxer В WRK этого нет, win2k.
    Post by: lhc645, Sep 23, 2010 in forum: WASM.RESEARCH
  12. lhc645
    Post

    Исследование недр win

    >>знаем егоо номер, знаем что он больше 1000 Первая единица не входит в номер сервиса, она указывает, что сервисная таблица W32pServiceTable (и...
    Post by: lhc645, Sep 23, 2010 in forum: WASM.RESEARCH
  13. lhc645
    Post

    Вирусная аналитика

    RtlLookupFunctionTable (full source ->wrk, правда там для ядра с PsInvertedFunctionTable) сначала находит описание модуля, в котором произошло...
    Post by: lhc645, Sep 22, 2010 in forum: WASM.HEAP
  14. lhc645
    Post

    Вирусная аналитика

    Я правильно понимаю, что исключение произойдет в ntdll? Если так, то вызовется обработчик для функции ntdll из таблицы эксепшенов ntdll, а не...
    Post by: lhc645, Sep 22, 2010 in forum: WASM.HEAP
  15. lhc645
    Post

    Передать сокет в другой процесс?

    >> DuplicateHandle если в системе установлен non-ifs lsp, то это не прокатит.
    Post by: lhc645, Sep 22, 2010 in forum: WASM.NETWORKS
  16. lhc645
    Post

    Получить текст из Edit

    А в msdn об этом написано:
    Post by: lhc645, Sep 20, 2010 in forum: WASM.BEGINNERS
  17. lhc645
    Post

    Учетные записи

    >> В целом это нужно для удаление ярлычков созданных одним инсталятором . Можно посмотреть в ключе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows...
    Post by: lhc645, Sep 18, 2010 in forum: WASM.WIN32
  18. lhc645
    Post

    определение процесса, к-рый вызывает похученную функцию

    KeAddSystemServiceTable обращается к KeServiceDescriptorTable, можно оттуда взять ее адрес.
    Post by: lhc645, Sep 17, 2010 in forum: WASM.BEGINNERS
  19. lhc645
    Post

    вопрос syscall, Intel и compatibility mode

    По поводу cstar и lstar можно почитать вот эту запись, там у меня довольно сырой, но все же реверс...
    Post by: lhc645, Sep 14, 2010 in forum: WASM.X64
  20. lhc645
    Post

    Ndis

    Чтобы структура была определена нужно написать перед включением ndis.h #define NDIS_WRAPPER 1 Если вы посмотрите как определяется...
    Post by: lhc645, Aug 28, 2010 in forum: WASM.NT.KERNEL
Showing results 1 to 20 of 99 Next >
Search Again
Page 1 of 5