首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 经典问答
    3. 发新帖
请问系统调用号为0x35的ntdll函数是什么
发表于: 2011-7-31 20:29 4310

请问系统调用号为0x35的ntdll函数是什么

cuidaniu 活跃值
2011-7-31 20:29
4310
请问系统调用号为0x35的ntdll函数是什么
此函数有以下调用方式
func(DWORD* d_loc4,1F03FF,DWORD* d_loc17(*d_loc17=0x18),-1,DWORD* d_loc6,DWORD* d_loc196(*d_loc196=0x10007),DWORD Address,0)有8个参数

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (5)
GVU
雪    币： 377
活跃值： (25)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
GVU
2 楼
自己看看ntdll的导出函数，我现在用Linux，看导出函数的地址应该能找到把。
2011-7-31 22:30
0
dccrazyboy
雪    币： 45
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
我这用windbg显示的事DbgPrompt
不过看msdn
http://msdn.microsoft.com/en-us/library/ff543635(v=vs.85).aspx
只有3个参数啊。。
2011-8-1 10:51
0
cuidaniu
雪    币： 147
活跃值： (13)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
关键这个函数中用系统调用号0x35给eax,然后KiFastSystemCall进入内核调用相应的系统函数，这个调用KiFastSystemCall的函数是一个从ntdll导出函数中拷贝到分配的内存空间的一个重复代码指令的拷贝函数，也就是这个拷贝到分配内存的函数是个跟ntdll导出函数一样的函数，由于调用这个拷贝函数是用函数绝对内存地址调用，所以这个函数的名称OllyDBG识别不出来
2011-8-1 20:43
0
私仇之路
雪    币： 73
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
好像是NtCreateThread。
2011-8-3 17:18
0
cuidaniu
雪    币： 147
活跃值： (13)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
谢谢私仇之路大哥了，好像是对的，8个参数
2011-8-4 14:36
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//