swapcontext中调用 KeSetSystemAffinityThread 会bsod 有什么其他方法能代替这个函数的呢-软件逆向-看雪-安全社区|安全招聘|kanxue.com

diybl

雪币： 199

活跃值： (40)

能力值：

( LV2，RANK：10 )

在线值：

发帖

23

回帖

98

粉丝

0

关注

私信

diybl: 2 楼

顶一下希望能有人帮忙

2012-10-19 21:58

0

qiluword

雪币： 225

活跃值： (419)

能力值：

( LV2，RANK：10 )

在线值：

发帖

51

回帖

219

粉丝

1

关注

私信

qiluword: 3 楼

你hook swapcontext的目的是什么？是检查隐藏进程？如果是的话，好多方法比hook swapcontext好

2012-10-22 15:20

0

diybl

雪币： 199

活跃值： (40)

能力值：

( LV2，RANK：10 )

在线值：

发帖

23

回帖

98

粉丝

0

关注

私信

diybl: 4 楼

不是呵呵问题解决了是newethread 和 oldethread 颠倒了的原因。。

2012-11-11 11:55

0

diybl

雪币： 199

活跃值： (40)

能力值：

( LV2，RANK：10 )

在线值：

发帖

23

回帖

98

粉丝

0

关注

私信

diybl: 5 楼

不颠倒了就不需要调用这个了呵呵KeSetSystemAffinityThread

2012-11-11 11:56

0

cvcvxk

雪币： 8833

活跃值： (2419)

能力值：

( LV12，RANK：760 )

在线值：

发帖

125

回帖

3095

粉丝

243

关注

私信

cvcvxk 10: 6 楼

固定线程CPU...太邪恶了~

2012-11-11 15:15

0

Prochg

雪币： 14

活跃值： (50)

能力值：

( LV2，RANK：10 )

在线值：

发帖

9

回帖

66

粉丝

2

关注

私信

Prochg: 7 楼

给个更邪恶的

内存检测，皆是浮云

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

//*************************************************************************
void PreSwapContext(PETHREAD Thread)
{
    PEPROCESS Process = PsGetCurrentProcess();
 
    if(!IsXxxxProcess(Process))
        return;
 
    if(!g_EnablePatch)
        return;
 
    PatchXxxx(TRUE);
 
}
//*************************************************************************
void PostSwapContext(PETHREAD Thread)
{
    PEPROCESS Process = PsGetCurrentProcess();
 
    if(!IsXxxxProcess(Process))
        return;
 
    if(!g_EnablePatch)
        return;
 
 
    if(IsXxxxMainThread(Thread))
        PatchXxxx(FALSE);
    else
        PatchXxxx(TRUE);
     
}
//*************************************************************************
__declspec(naked) NewSwapContext()
{
    __asm
    {
        pushad
        push esi
        call PreSwapContext
        popad
 
        call OldSwapContext
         
        pushad
        push esi
        call PostSwapContext
        popad
 
        ret
    }
}
//*************************************************************************

2012-11-11 18:48

0

cvcvxk

雪币： 8833

活跃值： (2419)

能力值：

( LV12，RANK：760 )

在线值：

发帖

125

回帖

3095

粉丝

243

关注

私信

cvcvxk 10: 8 楼

32位系统早就该淘汰了~

2012-11-11 21:40

0

Prochg

雪币： 14

活跃值： (50)

能力值：

( LV2，RANK：10 )

在线值：

发帖

9

回帖

66

粉丝

2

关注

私信

Prochg: 9 楼

64位系统也是一样滴，现代操作系统的设计原理都差不多的。
检测如果是一个线程，线程依赖线程调度，同样无视之。
Patchguard也是内存检测，由于用的是TimerDpc，不受线程调度影响，所以改成DPC分发时让检测线程，进程（或者说此时的虚拟内存为正确完整的），完全可以透明绕过任何检测。
难点是多CPU，多线程（或DPC）同时执行，如何保证相同进程的不同线程同时执行时的虚拟内存不一致才是最重要的，哎哟，扯远了，不说这个了