nnsa, Бред какой то. Дайте внятное описание задачи. drem1lin, В нт любой обьект может быть именован, тогда это глобальный в системе обьект и...
drem1lin, > И далее мониторить имя из OBJECT_ATTRIBUTES. Там указывается имя обьекта, а не файловый путь. Потоки обычно не именуются. Можно...
Почините аттачи - асм нельзя, rar тоже.. зипом жать что ле.
nagva27, Вот пример как находить изменения в рабочем наборе. Данный код используется в локальном визоре для быстрого скана памяти - изменения...
nagva27, > Могу ли я просто проверять длину hook-chain, чтобы понять, что перехват начал происходить? Это бессмысленно всё. Сейчас эти методы...
> просто добавляются RWX-страницы, и в этом случае DLL_THREAD_ATTACH не произойдёт. По нормальному создаётся отображение RW-RX. Это два раза...
nagva27, Смотря как происходит инжект. Обычно либа загружается из памяти, в обход штатных механизмов загрузки из секций/диска. > можно ли раз в...
rmn, А какая собственно разница как это реализовано.
Задача сравнить две области памяти - есть машинная строковая инструкция cmps. Очевидно что заранее нужно отобразить файлы в память. Зачем нужны...
xcode, Тема скорре ниочём. Формат IA это костыль и интересно помотреть на того придурка, кто эту архитектуру разработал. Эффективная...
sniper, Оверлей это понятие из доса. Для PE это ресурс, который не отображён в память. Он читается с диска, зачем - не понятно. Может ечо...
yashechka, Специфическая чушь. Вы ведь понимаете что отвечая такое вы людей в заблуждение вводите ?
KingT, Давайте на примере тогда. Дизасм запускается с адреса 0x4010CE: 004010CE 10 5F 5E adc byte ptr ds:[edi+5E],bl 004010D1 C9...
KingT, > Unable to execute file. Версия ос в заголовке 6.3, нужно меньше. > Никакие скролы туда сюда не должны менять ничего. Это если не...
Какой мод, какие права, что и зачем. Задача не сформулирована. В таком случае пишите кернел фильтр и хукаете нтапи гуя. Дефолтное очевидное...
KingT, Текущая инструкция, с которой начинается дизасм начинается с некоторого адреса. Когда листинг скролится вниз, берётся блок памяти по...
Анализ выполняется по мере пролистывания: CtrlA. если не поможет, то remove analysis или выделить код и analysis -> command.
EKern, Как меняем ? Если убрать сервис, то выполнится код по MEM, что там неизвестно, скорее всего закрэшит.
EKern, Что это значит :umnik2:
EKern, http://www.menuetos.net/sysfuncs.txt Зачем push 90 ? Там же аргументы через регистры передаются, а не через стек и сервис аргументов...
Имена участников (разделяйте запятой).
