посмотри в реестре ключ Notify. Там список длл,и для каждой эвент и экспортируемая функция,которая вызвается при этом эвенте. PS точно структуру...
наши просто слшиком самоуверенно играют. А как они в конце начали играть??? Сколько создали моментов за какието пять минут??? Надо сначала было...
krnl указывает на таблицу апи вида func dd funcddr
mov esi,_file;esi указывает на файл add esi,[esi+3ch] ;peheader mov ecx,[esi+34h] ;ecx=image base mov edx,[esi+50h] ;edx=SizeOfImage lea...
dyn попробовал,длл вроде грузится,но GetProcAddress возвращает не тот адерс. Функция (MessageBox не вызвается). Код такойже как и в первом...
ну в pImportTable передается указатель на таблицу импорта,из DataDirectory. ну я это знаю как бы.. И потом если kernel32 нормально...
елаю запуск файла с памяти,при заполнение импорта возникает проблема. Первым в Import descriptor'e kernel32 идет, он грузится нормально. все ок....
всем спасибо ,во всем разобрался.
Clerk ExceptionCode C0000005 ExceptionFlags 0 ExceptionRecord 0 ExceptionAddress 0040117E NumberParameters 2 ExceptionInformation 1...
Здравствуйте! У меня такая проблема: пытаюсь записать свой код в выравнивающие нули секции. При записи кода руками(в hex редакторе) все нормально....
ну если я правильно понял задачу... В процеес,в котором загружена длл,инжектишь код, который из PEB получает ImageBase библиотеки, и вызываешь...
большое спасибо.
Здраствуйте. Подскажите где можно взять инфу по сабжу. Смог нагуглить только кодес от мелкософта, в котором не очень тянет разбираться. Может есть...
Возможно ли сделать это функой NtUnloadDriver с привилегией SeLoadDriverPrivilege?
так можна и дизасм код в отладчике глянуть
Clerk спасибо. Да я впринципе разобрался уже,вычитал тут на сайте чтобы так не париться, надо мапить файл с параметром SEC_IMAGE
а ib - imagebase? тьфуты.. я ж его и добавляю add esi,[handle]
нет это не RVA. да и разве поле типа Word может содержать RVA?
IB ? что это такое? Потом в том файле ресурсы есть полюбому. А насчет рва щас проверим. А
хм попробовал взять другой файл.. теперь программа не падает, но вместо количества ресурсов, идентифицируемых по имени возвращает ноль. Тоже и с...
Имена участников (разделяйте запятой).
