能力值：
( LV12，RANK：240 )
|
-
-
[求助]反汇编引擎不知道怎么计算代码长度
向上找个没有歧义的代码 找个NOP或者其他的 累加向下计算指令长度 看那条指令落在哪个范围。。
或者从OEP开始加
或者从开始地址开始加 开始地址就是要求用户输入的那地址
随便想到的 仅供参考。。
|
能力值：
( LV12，RANK：240 )
|
-
-
[讨论]ring0隐藏调试端口
可能 shadow walk 可以
原理 ：http://blog.csdn.net/linux2linux/archive/2005/08/26/465701.aspx
以前搞了下 测试下 时间长了会蓝 不太稳定 不知道为什么 = =
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
[求助]如何patch P-Code
hook dispatch code 在某一条件成立时 指向PCODE的值（通常是esi？） 累加下相应的值 密钥模拟加密变换下 但实际的调度代码不执行 或者调度自己的CALL 你不是要绕过CALL吗 调度到自己的RET上应该就可以了。。 我只是猜测下 没有实践过= =
|
能力值：
( LV12，RANK：240 )
|
-
-
[分享]HOOK SwapContext 枚举隐藏进程(学习笔记4)
我说的原理应该正确的 你出现错误应该是你的问题 慢慢调试了= = 传一个附件 WindowsXP 的调度机制的详细解说 并有伪代码 还有一条思路 配合WRK看 看 _KPRCB 中的+124 _KTHREAD *CurrentThread
struct _KTHREAD *NextThread
struct _KTHREAD *IdleThread 是怎么确定的应该就可以了
|
能力值：
( LV12，RANK：240 )
|
-
-
[分享]HOOK SwapContext 枚举隐藏进程(学习笔记4)
就相关进程EHTREAD 的 KTHREAD 中的 WaitListEntry、QueueListEntry、ThreadListEntry 我是放在一个循环里 每隔几百毫秒检查下 有就断开。 好像3个链表好像不是同时有要断开的项的 所以要放一个循环了 我是这样解决的 具体调度算法 怎样调度没有深究了
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
[分享]HOOK SwapContext 枚举隐藏进程(学习笔记4)
XP 2000下都实现过 简单说下XPSP2下 因为没资料 2000资料多了 自己搜 你自己先搞
要断开首先要会枚举所有线程 办法是 枚举所有活动进程 通过其中任一 EHTREAD 的 KTHREAD 中的 WaitListEntry、QueueListEntry、ThreadListEntry 可以枚举到系统所有线程
要断开指定线程就简单多了 找指定进程任一线程 KTHREAD 相关3个链表断开指定项就可以了= =
|
能力值：
( LV12，RANK：240 )
|
-
-
Xtrap搞不定咯
DeviceIoCtrol 包
自己研究 关键是提高研究能力= = 不然具体我告诉你 换种方式你又不会了
另外把驱动当做黑盒分析 然后绕过是个好方向 个人不看好调试驱动。。
|
能力值：
( LV12，RANK：240 )
|
-
-
Xtrap搞不定咯
大方向是 模拟IO包 再分析下即可解决
一般初学来说10天工作量大概 writeportchar 去掉就不重启了
|
能力值：
( LV12，RANK：240 )
|
-
-
[原创]RING3代码HOOK的原理实现 （学习笔记1）
bool AfxHookCode(void* TargetProc, void* NewProc,void ** l_OldProc, int bytescopy = 5)
注意看函数声明 = = 第五个是参数 传进去的 可以是7字节 8字节等等 = =
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
[求助] 怎么样用汇编 将一个数组写到一个地址
mov byte ptr [0x12345678], 11
mov byte ptr [0x12345679], 22
mov byte ptr [0x1234567A], 33 等等
|
能力值：
( LV12，RANK：240 )
|
-
-
[原创]RING3代码HOOK的原理实现 （学习笔记1）
to 5楼:
1 个人认为这种模式非常方便 看过很多方式HOOK 这种模式很方便 代码结构非常好
2 这不一定只能用在header 是 CODE HOOK 随便在哪里HOOK 不一定在函数头
当然HOOK API有另外的函数比这个还方便 具体见附件
另外这种构架用了几年了 用的人多了 没出过问题 = =
to 7楼： 有 在附件 使用方法参考我一楼的吧~
|
能力值：
( LV12，RANK：240 )
|
-
-
|
能力值：
( LV12，RANK：240 )
|
-
-
[分享]HOOK SwapContext 枚举隐藏进程(学习笔记4)
程序里有个线程不断更新进程的 只要发生线程调度 就被记录下来了 如果有些进程实在太闲 不发生线程调度 那就不要管了。。 不运行应该不会对系统造成危害 除非他绕过了上面的HOOK
个人觉得这个可以起到辅助枚举进程的作用， 当初写这个的目的是得到一个隐藏进程的EPROCESS ~
|
能力排名：
等 级：
活跃值：
在线值：
浏览人数：270
最近活跃：6小时前
注册时间：2006-12-17
