Создание потока в чужом процессе (x86) управляя x64 программой, через NtCreateThread windows 10

Привет.
Я хочу создать поток используя функцию NtCreateThread, при этом на user стороне через системный вызов.
NtCreateThreadEx работает отлично, но мне нужен контроль над созданием стека и возможность создавать потоки на старых версиях windows.
Вообщем проблема такая.
Я выделил память под стек, правильно (как мне кажется) заполнил структуры CONTEXT(x64) и INITIAL_TEB.
По итогу отладки создался поток, регистр eip правильно прыгнул на нужный адрес, а вот регистр rsp заполнялся не правильно, в связи с чем произошел вылет.
В ходе тестов по заполнению разных регистров в структуре CONTEXT(x64) заметил не состыковки. Например заполняя rax в CONTEXT(x64) одним значением, то в 32 битном процессе вместо eax заполнился ebx. Что выводит к трем вариантом, либо я заполнил структуру CONTEXT(x64) не правильно, либо она изменилась с версией windows(в интернете она никогда не менялась и на оф сайте тож молчок), либо я что-то сделал еще не правильно.

Структуры и вообще процесс создания потока брал с исходников функции RtlCreateUserThread, брал с разных источников ReactorOS, с исходников слитой windows xp, и еще пару примеров с интернета, но проблема везде одна.
Сам пишу на FASM. Возможно на текущей версии windows они заглушили этот способ, возможно он работает только через ядро. Подскажите, где правильно копать? Если у кого завалялся рабочий пример, буду оч рад его посмотреть и сравнить, что где и как.
В заранее спасибки


И на всякий случай. У меня ну очень особая программа, поэтому я использую вместо оберток системные функции и вызовы, и я точно определенно прочитал табличку на оф сайте, что они могут поменяться

 

NANO_VIRUS,

Не верный подход. У тебя не нэйтив приложение, посему и нэйтив юзать незачем. Вызывай штатную апи, CreateThread(). Уже давно нэйтив потоки не создаются, даже если его создать через нэйтив апи, то он будет не полноценный не совместим с юзер.

 

незачем или нельзя? Какие проблемы с неполноценностью? Представим что я пишу драйвер

 

NANO_VIRUS,

Поток для норм работы в юзер должен быть юзер, те пройти загрузчик, кернел и гуй. Иначе это будет не полноценный ядерный поток. Нельзя даже представить зачем может быть нужно создавать нэйтив потоки при инжекте в частности.

 

Они и так создаются под прослойкой юзерных функций, то что я их не юзаю, а вызываю чисто системные вызовы, связано с защитой и еще с дофига вещей, которые нет смысла мне обьяснять, так как вопрос был совсем о другом. И не нужно меня переубеждать использовать прослойку. То что выполняется между прослойкой и вызовом системной функции, я тоже выполняю. Так что я прекрасно понимаю как это работает.

Мне нужно лишь знать поч не работает либо это не возможно при появлении NtCreateThreadEx с windows vista

 

NANO_VIRUS,

> связано с защитой и еще с дофига вещей, которые нет смысла мне обьяснять

С какой защитой ??

Если не понимаешь что делаешь тогда иди лесом. Какая разница какой поток в юзер. Нэйтив будет нерабочим. Это всё разобрали задолго до тебя.

 

У тебя реально есть 64-битная ХРшка?

 

только она консоль и плейстейшн вита, видимо

 

Rel, почему хрюша, мб речь о вин2к3. Их много еще встречается. Даже вин2к встречается на рабочих станциях (сам был в шоке, но факт).

 

в основном это бухгалтерия или что-то такое, как таргет для всякой малвари - полный капец, впрочем, мастера метерпретера с поиска таких хостов и начинают

 

Да понятно, но это такой процент, которым можно пренебречь. Я конечно понимаю, что господам блекушникам куда легче ломать устаревшие всего на каких-то жалких 18 лет системы, но все же. Если уж даже единственный живой спец по ядру XP не знает, чем отличается NtCreateThread и NtCreateThreadEx в плане поведения, то на этом наши магловские "полномочия всё" (с). При всем при этом он еще и из 64-битного нейтив приложения пытается создать поток в 32-битном нейтив приложении, насколько я понял, что вообще могло тут пойти так?

 

Почему я использую это, мои личные дела, они не должны касаться сути вопроса. Свои шаблонные ответы можешь оставить для других ребят.

Тему можно закрывать.