Подскажите почему перехват NtUserTranslateMessage не работает вWin2003

Подскажите почему перехват NtUserTranslateMessage не работает в Win2003, аналогичный перехват в WinXP проходит на ура. Номер сервиса в win2003 равен 0х235, адрес шадоу таблицы вроде бы определяется верно. В качестве антивируса стоит NOD32, не думаю что он перенес таблицу. Почему не работает перехват, не могу понять. Подскажите, какие нибудь средства для того чтобы проверить, правильно ли нахожу я адрес шадоу таблицы и номер сервиса.

Спасибо.

 

Еще может кто нибудь подскажет инструмент для того чтоб посмотреть перехваты в системе, на примере RkUnHooker, но только чтоб работала под win2003

 

аффтар выпрямляй руки
w2k3 sp2

 

Да дело ф том)) что на виртуальной машине это дело работает, а на реальной не хочет, а приведенный инструмент вызывает БСОД, по не ясным причинам.

Еще вопросец, может кто сталкивался, перехват сервиса в терминальном режиме, какие тут могут быть сложности,
при перехвате сервиса на самой машине показывает что перехват осуществлен, НО если заходим через терминал на эту же машину, то перехвата нет!!! Почему?? Драйвер же он вроде как один для всех сесиий, почему при работе с консоли ntUserTranslateMessage перехвачена, а если зайти через терминал на машину, то тот же РутКитАнхукер показывает что перехвата нет....


Подскажите пожалуйста

 

И вот из сессии терминального режима

 

Кто нибудь знает в чем тут дело??? в чем подвох

 

0xFox
Всё правильно – win32k с таблицей своих сервисов находится в сессионном пространстве же.

 

Подскажите, как до нее добраться, как ее найти для каждой сессии??

 

MiSessionWsList
MmGetNextSession()
MmAttachSession()
...
session.c

 

Благодарю, а session.c - этот файлик где можно достать??

 

А где эти функции вообще можно найти???
про них нет ничего в msdn нет и в поисковиках мало инфы,
поделитесь знаниями пожалуйста)))

 

wrk - путь к знаниям.

 

0xFox
На следующий ваш вопрос(этих функций и переменных нет в экспорте, как мне их искать) отвечу заранее:
0. Иметь ядра от всей линейки NT.
1. Сигнатурный поиск.
2. Анализ релоков.
3. Трассировка.
4. Дизассемблирование.
5. Создание и анализ графа.

 

Подскажите, если не сложно, какие файлы нужно дизассемблировать и где сигнатуры раздобыть..

 

0xFox
Берёте ядро и отладочные символы к нему, находите там нужные функи/переменные, затем ищите ссылки и пр., после чего находите целевые переменные или функции без отладочных символов и привязки к версии. А далее механически пишите код.

 

Хорошо, сейчас буду пробовать, подскажите еще такую вещь: Когда я найду адреса нужных мне функций и переменных в ntoskrnl.exe, будут ли эти адреса доступны из драйвера?? или нужно аттачится к процессу?

 

ОК, спасибо

 

Подскажите еще такие вещи:

на сколько я понимаю(если не так, поправьте)

MiSessionWsList - указатель на списк сессий
MmGetNextSession() - функция, возвращает сессию из списка, принимает параметр MiSessionWsList
MmAttachSession() - функция, позволяет приаттачится драйверу к конкретной сессии

кто нибудь может подсказать какие интерфейсы у этих функций??
MmAttachSession() - принимает два параметра, судя по всему, первый это результат MmGetNextSession(), а вот второй параметр для чего??

подскажите пажалуйста

 

0xFox
*GetNext* функи перечисляют. http://indy-vx.narod.ru/Bin/session.rar
Вам пять минут чтобы слить.