> А для вызовов 3 <--> 0 уже не используется механизм прерывания Да причём тут переключения, в той теме шла речь про возвращаемое значение rcx, а...
Абсолютно не причем findwindow, посмотри текстовик там. NtUserFindWindowEx это системный сервис, на стороне ядра все сервисы обрабатывает...
MaKsIm, Это защита от spectre etc, а как эта магия работает это другой вопрос..
Короче я понял зачем это. У всех векторов в IDT, сервисного шлюза есть эта серия. И одинаков это код: .text:0000000140405581...
MaKsIm, Смотри lfence в этом случае нет.
MaKsIm, Чисто интересно как у тс работало. Это я наверно 32 смотрел. У меня на 10 получается возвращается константа 0x49, либо что то зависящее...
MaKsIm, > Т.е. ответьте на вопрос: что содержит rcx после call FindWindow? Я тогда посмотрел конечно, там указатель на локальные...
MaKsIm, А зачем в прерывании с ядерным стеком защита от rop, тем более что стек такой(dpc) начинается с начала ? Какой вообще смысл в...
MaKsIm, Вот вся процедура. Если разметить, что бы было наглядно: call L1 L0: loc_14040FDB1: add rsp, 8 call L2 L3:...
MaKsIm, Это просто последовательность call - del_ret - call - del_ret... тоесть никаких скрытых особенностей нет, что один call - del_ret, что...
Semiono, Возврат значения из апи может быть в rdx:rax, но никак не в rcx.
MaKsIm, Что и как сохранить ? [ATTACH] Кстати в отрисованном графе чушь какая то. Тоесть call ..EBF, а стрелка на блок ..DB1. Глюки иды наверно.
Начало это вход в прерывание, что там происходит мы не поймём, так как не известны структуры. .text:000000014040FC80 KiRaiseAssertion proc near...
MaKsIm, .text:000000014040FDB1 loc_14040FDB1: ; CODE XREF: KiRaiseAssertion+13E↓p .text:000000014040FDB1...
TrashGen, При запрещённых прерываниях.. Для задержки сделали бы цикл со счётчиком, тем более эта часть ядра писана на асм. Если бы реализовано...
Привет. В ядре 10 на ISR: KiRaiseSecurityCheckFailure KiRaiseAssertion KiDebugServiceTrap Есть чудо код, зачем это сделано загадка, я даже не...
Посмотрел, сообщение идёт через \\WindowsErrorReportingServicePort Может не дать его открыть, права попробовать урезать..
FindWindow -> rcx : random.
oep тема не простая, был определен критерий - абсолютная адресация и крутилосъ это под визорами, но это были протекторы. Что вы собираете, что за...
Вам нужен загрузчик пе из памяти. Так как используется модуль, а не шелл код, релоки импорт и тп. В длл потоки нельзя асинхронно создавать.
Имена участников (разделяйте запятой).
