Листы планировщика

Discussion in 'WASM.NT.KERNEL' started by gangsta, Jul 9, 2008.

  1. gangsta

    gangsta New Member

    Blog Posts:
    0
    Joined:
    Jul 7, 2008
    Messages:
    5
    Доброго времени суток.
    В статье Ms Rem - Обнаружение скрытых процессов описывается метод листы планировщика. Все понятно кроме одного что такое WaitProcOffset, что это за смещение? В чем?
    И еще такой вопрос как применить статью к w2k3, там описанные методы не работают? У каго какие мысли?
     
    gangsta, Jul 9, 2008
    #1
  2. n0name

    n0name New Member

    Blog Posts:
    0
    Joined:
    Jun 5, 2004
    Messages:
    4,336
    Location:
    Russia
    Советую почитать статью 90210, "Bypassing Klister 0.4 with No Hooks or Running a Controlled Thread Scheduler".
    работают, только листы планировщика по другому полчать надо.
     
    n0name, Jul 10, 2008
    #2
  3. gangsta

    gangsta New Member

    Blog Posts:
    0
    Joined:
    Jul 7, 2008
    Messages:
    5
    Нифига не ясно. Можно объяснить на конкретном примере - статье Ms Rem, откуда он взял этот WaitProcOffset?
     
    gangsta, Jul 10, 2008
    #3
  4. GMax

    GMax Member

    Blog Posts:
    0
    Joined:
    Jul 3, 2006
    Messages:
    218
    Вот так наверное:
    Из исходников видно, что для Win2k WaitProcOffset=1D0h
    Item-ETHREAD.Tcb.WaitListEntry+ETHREAD.ThreadsProcess
    Для Win2k:
    Item-6Ch+22Ch => Item+1D0h
    Для WinXP:
    Item-60h+0220h => Item+1C0h
     
    GMax, Jul 10, 2008
    #4
  5. Toney

    Toney New Member

    Blog Posts:
    0
    Joined:
    Jul 10, 2008
    Messages:
    9
    Неа,

    Item-ETHREAD.Tcb.WaitListEntry+ETHREAD.ThreadsProcess
    Item-5Ch+22ch => Item + 1D0h

    а для XP правильно GMax сказал :)

    Прикольно, странно что автор не написал про это в статье.
     
    Toney, Jul 10, 2008
    #5
  6. gangsta

    gangsta New Member

    Blog Posts:
    0
    Joined:
    Jul 7, 2008
    Messages:
    5
    GMax
    Toney
    Вы мои герои!! :)

    Точно же блин это же лист шедулера. Во я тупой!

    Спасибо, тема закрыта, статья рулит! :)
     
    gangsta, Jul 10, 2008
    #6