по ntdll

Discussion in 'WASM.WIN32' started by 4VR, Mar 11, 2009.

  1. 4VR

    4VR New Member

    Blog Posts:
    0
    Joined:
    Nov 21, 2008
    Messages:
    25
    Люди, есть вопросик по номерам функций системных сервисов разных версий виндов NT.
    Отличаются ли номера сервисов в различных паках w2k3 ?
    Отличаются ли номера сервисов в различных паках vista ?
    Отличаются ли номера сервисов в 2х основных билдах windows vista ?
    Речь идёт о сервисах ssdt.
     
  2. GMax

    GMax Member

    Blog Posts:
    0
    Joined:
    Jul 3, 2006
    Messages:
    218
    http://www.metasploit.com/users/opcode/syscalls.html
    номер можно определить из самой функции
     
  3. 4VR

    4VR New Member

    Blog Posts:
    0
    Joined:
    Nov 21, 2008
    Messages:
    25
    это понятно, но мне нужно исключить возможность того, что кто то видоизменит код переходника, и тогда будет сложно определить функцию.
     
  4. wasm_test

    wasm_test wasm test user

    Blog Posts:
    0
    Joined:
    Nov 24, 2006
    Messages:
    5,582
    Код переходника, по крайней мере начальный MOV EAX, NUMBER не менялся со времен хер знает чего, поэтому получай динамический как *(ULONG*)((PUCHAR)GetProcAddress(LoadLibrary("ntdll.dll"),"ZwQuerySystemInformation") + 1)
     
  5. 4VR

    4VR New Member

    Blog Posts:
    0
    Joined:
    Nov 21, 2008
    Messages:
    25
    где гарантия что переходник кто нить неперехватит ?? я вот чего донести пытаюсь
     
  6. blast

    blast New Member

    Blog Posts:
    0
    Joined:
    Mar 8, 2008
    Messages:
    170
    ну с диска проецируй делов-то. ZwCreateFile/ZwCreateSection/ZwMapViewOfSection
     
  7. Clerk

    Clerk Забанен

    Blog Posts:
    0
    Joined:
    Jan 4, 2008
    Messages:
    6,689
    Location:
    РБ, Могилёв
    Если сервисов не много лучше таблицу составить.
     
  8. k3internal

    k3internal New Member

    Blog Posts:
    0
    Joined:
    Jan 11, 2007
    Messages:
    607
    с диска проецировать, могут перехватить работу с файлами и подставить своё
     
  9. cresta

    cresta Active Member

    Blog Posts:
    0
    Joined:
    Jun 13, 2004
    Messages:
    2,257
    носи с собой свою ntdll
     
  10. k3internal

    k3internal New Member

    Blog Posts:
    0
    Joined:
    Jan 11, 2007
    Messages:
    607
    точно, для каждой версии ос свою копию =))))))))))))) мухаха
     
  11. Clerk

    Clerk Забанен

    Blog Posts:
    0
    Joined:
    Jan 4, 2008
    Messages:
    6,689
    Location:
    РБ, Могилёв
    Я про тоже, вся не нужна, только несколько сотен байт из неё.