Quantum Спасибо! Очень подробно и понятно.
Читаю Bernd Luevelsmeyer'a. Вижу следующее: To get information about the i-th exported symbol, find the export directory, follow the 3 RVAs, skip...
вот посему и спрашиваю: интересны наблюдения по опыту людей.
Интересно следующее: какие функции ntoskrnl чаще всего перехватывают 1. руткиты 2. ав 3. фаерволлы Буду оч признателен =)
Ох, какая ересь в статье написана... Во-первых, этому существу 20 лет. В 20 лет по-настоящему умных девушек я не встречал. Не везло, наверное =)...
Уважаемые дзенствующие, вопрос остается открытым. Высскажите, если не трудно, свои мысли по теме (см. мой предпоследний пост).
Тогда какой выход? Стоит ли вообще анализировать директорию экспорта? Доп. надежность для обнаружения перехвата это, очевидно, даст. Но только для...
Вопрос.... Почему не все системные сервисы (которых для 2600 билда ровно 0x11B) есть в директории экспорта ntoskrnl.exe? А то была идея...
k3internal Тада вопрос. Как определить что есть ядро? Хоть базу, хоть имя - не важно. Имеем следующее: 1. Номер следования может быть любым. 2....
ИМХО - криво. А если функция перехвачена? Долго листать буду... =) А базу ядра, при большом желании, получаем из списка модулей. Это при условии,...
Great А в экспорте - RVA? Кстати, а база ядра всегда постоянна?
Ок, спасиба. Такой вопрос: реальные адреса NativeAPI искать в файле ядра на диске или в загруженном модуле?
В догонку: а ядро всегда идет первым в списке модулей, получаемых ZqQuerySystemInformation?
Вопрос детский, но ответа так и не нашел =( Итак, анализирую SDT, иду по списку ServiceTable SST, получаю адреса всех функций ядра. Как узнать,...
Nouzui Спасибо. Буду знать, что эти настройки зависят от профиля билдера.
Подскажите вот какую вещь. В проге все нормально, работает как надо. Строю в конфиге Debug. Решил попробовать включить Release... И началось:...
Great гы, спасибо ) я че-то затупил ))
Nouzui Напомню, что в моем случае first - LPWSTR. И такой прием кончается следующим: error C2664: 'wcscpy' : cannot convert parameter 1 from...
Great Строка second дописалась в результирующую криво - все номера символов > 20 000, отображаются некорректно. Зато их ровно вдвое больше, чем...
FreeManCPM Возвращать результат надо тоже в LPWSTR, а в моем случае LPTSTR=LPSTR. Соответственно, приведенная тобой строчка работать не будет,...
Имена участников (разделяйте запятой).
