интересное ImageExportDrirectory

Тема в разделе "WASM.WIN32", создана пользователем 984259h, 13 авг 2009.

  1. 984259h

    984259h New Member

    Публикаций:
    0
    Регистрация:
    25 авг 2007
    Сообщения:
    194
    Собственно парсил экспортные функции в NtOsKrl.exe модуле (Windows 7 x64) искал "KeServiceDescriptorTable" вот и нашел.
    После чего отрыл модуль в иде посмотрел экспортные функции и в списке их "KeServiceDescriptorTable" не было да собственно и кол-во функций в иде 2111 у меня насчитало 2184 почему так ?
     
    984259h, 13 авг 2009
    #1
  2. onSide

    onSide New Member

    Публикаций:
    0
    Регистрация:
    18 июн 2008
    Сообщения:
    476
    Потому что это не ф-ция а переменная.
     
    onSide, 13 авг 2009
    #2
  3. wasm_test

    wasm_test wasm test user

    Публикаций:
    0
    Регистрация:
    24 ноя 2006
    Сообщения:
    5.582
    onSide
    глупость сморозил

    984259h
    Потому что в х64 она не экспортируется.
     
    wasm_test, 13 авг 2009
    #3
  4. 984259h

    984259h New Member

    Публикаций:
    0
    Регистрация:
    25 авг 2007
    Сообщения:
    194
    Great
    я и не знал спасибо
     
    984259h, 13 авг 2009
    #4
  5. wasm_test

    wasm_test wasm test user

    Публикаций:
    0
    Регистрация:
    24 ноя 2006
    Сообщения:
    5.582
    Ну там же PatchGuard. Экспортировать ее нет смысла - нельзя модифицировать
     
    wasm_test, 13 авг 2009
    #5
  6. Sol_Ksacap

    Sol_Ksacap Миша

    Публикаций:
    0
    Регистрация:
    6 мар 2008
    Сообщения:
    623
    984259h
    Плохо считал:
    Код (Text):
    1. Win7 x64 RTM ntoskrnl.exe, md5 = 9e722b768e33d26ad8fa7d642e707443
    2. Number of exported symbols: 2111
    3. Number of exported symbols with unique RVA: 2081
    4.  
    5. Non-unique symbols:
    6. RVA 0x2e4044
    7. MmLockPagableDataSection
    8. MmLockPagableImageSection
    9.  
    10.  
    11. RVA 0x8a130
    12. FsRtlNumberOfRunsInBaseMcb
    13. KeReadStateEvent
    14. KeReadStateQueue
    15.  
    16.  
    17. RVA 0x7e184
    18. FsRtlResetBaseMcb
    19. KeClearEvent
    20.  
    21.  
    22. RVA 0x3e0150
    23. RtlUnicodeStringToAnsiSize
    24. RtlUnicodeStringToOemSize
    25. RtlxUnicodeStringToAnsiSize
    26. RtlxUnicodeStringToOemSize
    27.  
    28.  
    29. RVA 0x448a0
    30. RtlInitAnsiString
    31. RtlInitString
    32.  
    33.  
    34. RVA 0x3e0120
    35. RtlAnsiStringToUnicodeSize
    36. RtlOemStringToUnicodeSize
    37. RtlxAnsiStringToUnicodeSize
    38. RtlxOemStringToUnicodeSize
    39.  
    40.  
    41. RVA 0x98bd0
    42. IoGetCurrentProcess
    43. PsGetCurrentProcess
    44.  
    45.  
    46. RVA 0x46a720
    47. IoDeleteController
    48. IoDeleteDriver
    49.  
    50.  
    51. RVA 0xbec10
    52. KeGetCurrentThread
    53. PsGetCurrentThread
    54.  
    55.  
    56. RVA 0x68c40
    57. RtlCopyMemory
    58. RtlMoveMemory
    59. memcpy
    60. memmove
    61.  
    62.  
    63. RVA 0x165fd0
    64. ExRaiseException
    65. RtlRaiseException
    66.  
    67.  
    68. RVA 0x96f00
    69. KeRestoreFloatingPointState
    70. KeSaveFloatingPointState
    71.  
    72.  
    73. RVA 0x4faf0
    74. PoStartNextPowerIrp
    75. __misaligned_access
    76.  
    77.  
    78. RVA 0x3310e8
    79. IoVolumeDeviceToDosName
    80. RtlVolumeDeviceToDosName
    81.  
    82.  
    83. RVA 0xc02d0
    84. _swprintf
    85. swprintf
    86.  
    87.  
    88. RVA 0x173a80
    89. IoCallDriver
    90. PoCallDriver
    91.  
    92.  
    93. RVA 0x32c940
    94. RtlFreeAnsiString
    95. RtlFreeUnicodeString
    96.  
    97.  
    98. RVA 0x10d860
    99. KeReadStateMutant
    100. KeReadStateMutex
    101. KeReadStateSemaphore
    102.  
    103.  
    104. RVA 0x646c0
    105. PsGetProcessSectionBaseAddress
    106. PsGetThreadWin32Thread
    107.  
    108.  
    109. RVA 0x103da0
    110. PoCancelDeviceNotify
    111. PoRegisterDeviceNotify
    112.  
    113.  
    114. RVA 0x7b010
    115. KeWaitForMutexObject
    116. KeWaitForSingleObject
    117.  
    118.  
    119. RVA 0x393f1c
    120. IoForwardAndCatchIrp
    121. IoForwardIrpSynchronously
    122.  
    123.  
    124.  
    125.  
    126. Also, "KeServiceDescriptorTable" not found
    (Скрипт)
     
    Sol_Ksacap, 17 авг 2009
    #6