В общем, похоже, проблема решена. Всего пару строк кода. В моём случае, видимо, будет достаточно восстановить стэк (ESP). Поэтому вот что я...
Оу. Кажется, __declspec(naked) решает проблему лишнего кода вначале функции.
Доброго времени суток! В качестве метода проникновения в новосозданный процесс, я использую сплайсинг точки входа (как альтернатива хуку...
Ну-ну. =) http://wasm.ru/article.php?article=hidingnt#3_1:
TSS onSide =) Respect.
TSS .text:77E247A8 mov eax, 1212h 1212h - это индекс искомой функции в Shadow SSDT. В скриншоте, что я привёл, максимальный...
[img]
onSide Я тоже так сначала подумал, однако, нет этого индекса там.
Доброго времени суток! В библиотеке user32.dll был обнаружен примерно такой код (внутри функции SetWindowsHookEx) : Win7: .text:77D220F6...
Кстати, вот что MS-Rem писал об этом: Any comments?
Вот поэтому я специально и взял это понятие в кавычки. =) Я не отрицаю, что у меня мало опыта в программирование подобных вещей. Я, поэтому и...
Ну да, всё получилось. На win2k пока не тестировал, но оно работает. Хукнутая NtResumeThread: SPLICE hookNtResumeThread; BOOL WINAPI...
Ox8BFF55 Там есть отличительная иконка UAC'а. А это значит, что скрин диспетчера уже по-определению не от WinXP. Я об этом.
Забавные вещи. В топике написано про WinXP, а скрин диспетчера явно от Win7.
Возможно, у тебя включён ReadyBoost?
Я думаю, у меня больше времени уйдёт на анализ вашего кода, чем на завершение метода сплайсинга точки входа. Мне бы сейчас в ring3 доделать...
Или лучше хукнуть NtCreateThread, т.к. походу, там, можно достать из CONTEXT.Eax адрес точки входа и изменить этот адрес, передав управление на...
Что-то ничего лучше, чем выполнить epInject, снять хук (восстановив начало оригинальной функции) и передать туда управление ... мне в голову не...
OMG! Подводные камни! CrystalIC Угумс, спасибо. Получаю EP как ты и говорил, respect: #define ProcessSectionImageInformation 0x25 // Getting...
CrystalIC SectionImageInformation ? http://undocumented.ntinternals.net/UserMode/Structures/SECTION_IMAGE_INFORMATION.html
Имена участников (разделяйте запятой).
