Тебе нужно тупо считывать показания каких-то MSR регистров [вроде там хранится текущая C ядра и тд] и передавать их по запросу IOCTL и тд.
HE4 это руткит)
Да.Однако SectionHandle чаще обзывается иначе. Будет более понятно если написать DRIVER_OBJECT.DriverSection
DRIVER_OBJECT Но зачем его [entry point] восстанавливать?
На счет nvidia и видеокарт серии 8xxx-9xxx ссылка: http://www.opentheblob.com/nvidia/index.php Глядишь,доживем до этого светлого дня..
Для начала http://www.securitylab.ru/analytics/254727.php
1. Intel MultiProcessor Specification,1997 2. Intel System Programming Guide 3. то же но от AMD
эт потому что он грузится по одному и тому же адресу) что за изврат? читай файло с диска и восстанавливай. скорее всего будет bsod.
Это и так понятно)
Нет. Она даже назыв. init (от слова initialization) те одноразовая. Потом ее лоадер выгружает чтобы сэкономить память)
Поставь бряк на kthread.KernelStack и сразу увидишь,кто заполняет ktrapframe и что будет в стеке.Концы уходят в hal.dll Обычно это делает...
Тут кто-то писал,как заставить windbg самому выкачивать нужные символы.Может кто-то скажет еще раз?
А тупо взять SoftIce и посмотреть в чем дело? Только не ставь при отладке 0xCC в начало своей ф-ии systenter,у айса почему-то сносит крышу.
Вывод очевиден. 1. Если это античит [вспоминаю,как бомбил punkbuster],контролируй не весь exe [это не имеет смысла] а только 'узкие места'. 2....
Давай определимся с терминологией,ok? Что в твоем понимании процесс - исполняемый файл и его библиотеки,данные и прочее или все адресное...
Вовсе не обязательно. И как ты собираешься найти md5 процесса? Исполняемого файла - да,библиотек - да,но процесса? :D Ты в курсе,что возможен...
katrus Странно.Тогда почему у меня работает? В аттаче дров на скорую руку.Запускай dbgview в vmware и смотри.При остановке с вероятностью 1/3...
http://www.cracklab.ru/f/index.php?action=vthread&forum=3&topic=8236
Странно.Попробуй так.Это работает на XP SP2 и скорее всего будет работать и у тебя. new_SysCall: pusha pushf...
Для разнообразия попробуй фильтровать отдельную ф-ию..
Имена участников (разделяйте запятой).
