Список процессов

Code (Text):

1. __inline ULONG GetSyscallService(ULONG NtDllServiceEntry)
2. {
3.     // checking for valid instruction (mov eax, ...)
4. //  if (*(PBYTE)((DWORD_PTR)NtDllServiceEntry) != 0xb8)
5. //      return -1;
6.     return (*(PULONG)((DWORD_PTR)NtDllServiceEntry+1));
7. }

GetSyscallService((ULONG)GetProcAddress(GetModuleHandle("ntdll"),"NtQueryDirectoryFile"));

возвращает номер сервиса, передаешь адрес ф-ии в ntdll только.
юзай

 

JamesB
ну ты прям крутой, обернул одно выражение в функцию и уже крутой))

 

JamesB
Great
Вы оба крутые
http://www.wasm.ru/forum/viewtopic.php?id=25322

 

Всем спасибо.
Пролема была в том, что Builder не понимал инструкцию "call", поэтому я пытался делать без данной инструкции, что приводило к неправильному результату.
Пришлось на Visual Studio сделать DLL, и экспортировать оттуда функцию:

Code (Text):

1. #define sysenter __asm _emit 0x0F __asm _emit 0x34
2. #define EXPORT extern "C" __declspec(dllexport)
3.  
4. EXPORT LONG XpSystemCallZwQuerySystemInformation(UINT uiInfoType, PVOID pvBuffer, ULONG ulBufferSize, PULONG pulReturn);
5.  
6. LONG XpSystemCallZwQuerySystemInformation(UINT uiInfoType, PVOID pvBuffer, ULONG ulBufferSize, PULONG pulReturn) {
7.  
8.    __asm {
9.     pop ebp
10.     mov eax, 0x00AD
11.     call Sys
12.            ret 0x10
13.            Sys:
14.            mov edx, esp
15.            sysenter
16.    }
17.  
18. }

Через одно место конечно, но зато результат получен.
Тема закрыта.
Всем еще раз спасиб!

 

когда я начинал писать - твоего поста не было) у меня висела открытой эта страница около часа, потом я отписал пост) а оказалось ты уже за это время успел ответить
туц туц