首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 编程技术
    3. 发新帖
[求助]KeAttachProcess中哪调用KiAttachProcess？
2013-7-9 16:48 5435

[求助]KeAttachProcess中哪调用KiAttachProcess？

marcofly 活跃值
2013-7-9 16:48
5435
请问KeAttachProcess中调用了（第一个E8）KiAttachProcess，但是，我得到的第一个E8是：call    nt!KeUnstackDetachProcess+0x16c (804f87b6)
这个应该不是KiAttachProcess吧？
新手，不明白，望高手指点下,谢谢~
kd> uf KeAttachProcess
nt!KeAttachProcess:
804f88ba 8bff            mov     edi,edi
804f88bc 55              push    ebp
804f88bd 8bec            mov     ebp,esp
804f88bf 56              push    esi
804f88c0 57              push    edi
804f88c1 64a124010000    mov     eax,dword ptr fs:[00000124h]
804f88c7 8b7d08          mov     edi,dword ptr [ebp+8]
804f88ca 8bf0            mov     esi,eax
804f88cc 397e44          cmp     dword ptr [esi+44h],edi
804f88cf 742d            je      nt!KeAttachProcess+0x44 (804f88fe)

nt!KeAttachProcess+0x17:
804f88d1 80be6501000000  cmp     byte ptr [esi+165h],0
804f88d8 752a            jne     nt!KeAttachProcess+0x4a (804f8904)

nt!KeAttachProcess+0x20:
804f88da 64a194090000    mov     eax,dword ptr fs:[00000994h]
804f88e0 85c0            test    eax,eax
804f88e2 7520            jne     nt!KeAttachProcess+0x4a (804f8904)

nt!KeAttachProcess+0x2a:
804f88e4 ff1514874d80    call    dword ptr [nt+0x714 (804d8714)]
804f88ea 884508          mov     byte ptr [ebp+8],al
804f88ed 8d864c010000    lea     eax,[esi+14Ch]
804f88f3 50              push    eax
804f88f4 ff7508          push    dword ptr [ebp+8]
804f88f7 57              push    edi
804f88f8 56              push    esi
804f88f9 e8b8feffff      call    nt!KeUnstackDetachProcess+0x16c (804f87b6)

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

收藏
点赞・0
打赏
分享
最新回复 (4)
ltarcher
雪    币： 157
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ltarcher 2013-7-9 17:07
2 楼
0
804f88e4 ff1514874d80    call    dword ptr [nt+0x714 (804d8714)] ---这个才是第一个call
ITSailor
雪    币： 4817
活跃值： (23)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ITSailor 2013-7-9 17:14
3 楼
0
你没发现你的符号有问题么？
call后面一般都是函数开头，而你这个却是nt!KeUnstackDetachProcess+0x16c，所以你第一应该怀疑的不是为啥是KeUnstackDetachProcess，而是可能符号有问题。
我在XP SP3下的反汇编，你看看

kd> uf nt!KeAttachProcess
nt!KeAttachProcess:
804f88cc 8bff            mov     edi,edi
804f88ce 55              push    ebp
804f88cf 8bec            mov     ebp,esp
804f88d1 56              push    esi
804f88d2 57              push    edi
804f88d3 64a124010000    mov     eax,dword ptr fs:[00000124h]
804f88d9 8b7d08          mov     edi,dword ptr [ebp+8]
804f88dc 8bf0            mov     esi,eax
804f88de 397e44          cmp     dword ptr [esi+44h],edi
804f88e1 742d            je      nt!KeAttachProcess+0x44 (804f8910)

nt!KeAttachProcess+0x17:
804f88e3 80be6501000000  cmp     byte ptr [esi+165h],0
804f88ea 752a            jne     nt!KeAttachProcess+0x4a (804f8916)

nt!KeAttachProcess+0x20:
804f88ec 64a194090000    mov     eax,dword ptr fs:[00000994h]
804f88f2 85c0            test    eax,eax
804f88f4 7520            jne     nt!KeAttachProcess+0x4a (804f8916)

nt!KeAttachProcess+0x2a:
804f88f6 ff1514874d80    call    dword ptr [nt!_imp__KeRaiseIrqlToDpcLevel (804d8714)]
804f88fc 884508          mov     byte ptr [ebp+8],al
804f88ff 8d864c010000    lea     eax,[esi+14Ch]
804f8905 50              push    eax
804f8906 ff7508          push    dword ptr [ebp+8]
804f8909 57              push    edi
804f890a 56              push    esi
804f890b e8b8feffff      call    nt!KiAttachProcess (804f87c8)
marcofly
雪    币： 30
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
marcofly 2013-7-9 17:20
4 楼
0
[QUOTE=ltarcher;1197054]804f88e4 ff1514874d80    call    dword ptr [nt+0x714 (804d8714)] ---这个才是第一个call...[/QUOTE]
是第一个E8哈~
marcofly
雪    币： 30
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
marcofly 2013-7-9 17:36
5 楼
0
多谢提醒~现在正常了！
这里我只修改了下符号文件路径的设置，
修改前：
srv*D:\WinDDK\symbols*http://msdl.microsoft.com/download/symbols
修改后：
C:\WINDOWS\Symbols;srv*D:\WinDDK\symbols*http://msdl.microsoft.com/download/symbols
希望对新手有帮助
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回