tiranosaur push dword [ebp+18h]
tiranosaur 1) Вместо поиска 0 или int3 или nop можно сделать VirtualAllocEx. 2) Заменить апи можно на использование соответствующих сервисов либо...
T800 У Yrees в первом посте написано ZwQueryProcessInformation, вот я и решил, что нужно ограничить права доступа к процессу. А если надо скрыть...
T800 Yrees http://www.wasm.ru/forum/viewtopic.php?pid=422640#p422640 Разве это не то, что вам нужно? Yrees На мой взгляд перехват функций...
Yrees ObRegisterCallbacks?
Escudo int 2Eh или sysenter, но к досовским они не имеют отношения.
l_inc Вы правы, я чего-то тупанул, так что пришлось всё-таки писать как вы в #3 рекомендовали, и вот что получилось: format PE gui entry start...
В общем проблема решена: format PE gui entry start section 'qweasd' readable writeable executable %esp = 0 macro the_push arg { local...
xRom2 Попробуйте собрать такой код: use32 push eax edx dword [esi] всё нормально собирается, так что всё-таки поддерживает, в общем-то в этом и...
Здравстауйте, мне понадобилось определить, на сколько push и pop изменяют esp, что-то вроде: delta equ n push something ;delta=n+4 Всё было бы...
artkar http://www.idapro.ru/
Vitamant Да, http://wasm.ru/publist.php?list=21 Да. Да, но возможно зто системный обработчик.
billi12 Отлично, а какое отношение это к SSDT имеет?
_nic А черт его знает, посмотрите в отладчике, где конкретно падает.
_nic Честно говоря сначала я в код особо не вчитывался. 1) Проще будет искать не имя, а адрес: (OriginalCreateThread-libB) в AddressOfFunctions,...
_nic Может. Если перехватывать тольк экспорт, то GetProcAddress будет возвращать адрес вашей функции, но если вы не поставите перехват на импорт,...
_nic Кроме таблицы экспорта надо перехватить функцию в таблице импорта каждого модуля, который импортирует эту функцию.
virooz если я правильно понял суть проблемы, то можно сделать так: в качестве функции-обработчика нужно поставить следующее: mov...
Ну что, совсем никто не знает?
Increazon Антивирусы защищают свой процесс из ядра. Но так как вам нужно защитить свой процесс не от малвари, а отмладшего брата, то я думаю что...
Имена участников (разделяйте запятой).
