[原创]遍历内核中的DpcTimer-编程技术-看雪-安全社区|安全招聘|kanxue.com

[原创]遍历内核中的DpcTimer

发表于: 2012-3-20 11:17 30081

[原创]遍历内核中的DpcTimer

thisIs

活跃值

9

2012-3-20 11:17

30081

查看主题内容

收藏・75

免费・6

支持

分享

最新回复 (29) ◀ 1 2
流逝时光雪币： 70 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 15 回帖 96 粉丝 1 关注私信	流逝时光 26 楼好厉害！！学习 2013-3-22 11:36 0
korall 雪币： 228 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 68 粉丝 0 关注私信	korall 27 楼 mark ! XP ~ Win7 DPCTimer 遍历 2013-3-23 10:40 0
bUgmAny 雪币： 84 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 8 回帖 107 粉丝 0 关注私信	bUgmAny 28 楼 Thanks...mark....分析的挺详细。。不错。。 2013-3-23 13:54 0
smabl 雪币： 282 活跃值： (31) 能力值： ( LV2，RANK：10 ) 在线值：发帖 16 回帖 53 粉丝 0 关注私信	smabl 29 楼 void AsmTest() //反汇编引擎测试函数 { ULONG pFuncInfo=50; ULONG pFuncAddress =0; //PVOID pvBuf = NULL; UNICODE_STRING destString; ULONG DecodedLength = 0; ULONG dw=0; Disasm dis; //ULONG ulIoControlCode; //控制代码 UNICODE_STRING Old_NtOpenProcess ; // pvBuf=(PVOID)50 ; // pFuncInfo = (PMyStruct)pvBuf; //pFuncInfo->Length=20 ; RtlInitUnicodeString(&Old_NtOpenProcess,L"NtOpenProcess"); pFuncAddress=(ULONG)MmGetSystemRoutineAddress(&Old_NtOpenProcess); //获取原NtOpenProcess函数的 if(pFuncAddress=0) { DbgPrint("反汇编引擎获取函数地址失败...") ; return ; } DbgPrint("反汇编引擎初始化完成...") ; dw = DisasmCode((PUCHAR)((ULONG)pFuncAddress+DecodedLength),pFuncInfo - DecodedLength,&dis); DbgPrint("数据长度[%d]",dw) ; return ; } 简单的测试了下，不知道怎么回事运行就挂了，虚拟机就不动了，请问是不是我代码错了 2013-3-24 12:55 0
newzzc 雪币： 242 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	newzzc 30 楼求 PKDPCTIMER 结构定义其实是这个吗? PKTIMER 2014-2-7 14:22 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

返回

thisIs

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

//