|
|
|---|---|
|
|
|
|
|
大表哥，托飞总的福，PG已经过掉了呢 |
|
|
|
|
|
push rbp 然后sub rsp，158h，结尾对应add rsp，160h 应该平衡了呀 |
|
|
蓝屏原因发下，飞总那个shark在1903以上就已经不是100%稳定的了，它本身也要hook 0E，你也要hook，不就冲突了 |
|
|
虚拟机忘记设置蓝屏转储了，大表哥我现在开始挂，下次蓝屏发你 
|
|
|
大表哥请教一下，虚拟机系统1709，Shark应该是稳定的。我看了下飞总的shark源码，没找到HOOK 0E的地方，能截个图我看看吗，不胜感激 |
|
|
1709 shark不会hook 0e，不过你得保证你hook的0e是真 KiPageFault而不是什么KiPageFaultShadow，我没用过鹅厂的代码不过我自己写的hook entry是很稳定的 12~24小时 个人认为还是PG的问题
最后于 2020-4-28 16:52
被hzqst编辑
，原因：
|
|
|
HookTrap0E PROC PUSH RBP SUB RSP, 158h PUSHFQ POPFQ ADD RSP, 160h JMP OldTrap0E HookTrap0E ENDP 昨天已经改成这样了，仍然在经过12-24小时左右收获蓝屏套餐，不知道为什么蓝屏转储没有生成（可能是默认小内存转储忘改了吧，今天重新设置了，挂半天坐等蓝屏），应该和hook写法没关系了，也许真的是和什么东西冲突了，亦或是shark没给PG fuck干净（不应该啊，飞总NB）。 确实是hook在了KiPageFault
最后于 2020-4-28 17:20
被lytywg编辑
，原因：
|
|
|
这么简单还拉闸那铁是PG问题了 shark我记得确实是干不干净的，特别是1903以前 |
|
|
这代码我在win7下测试是稳定的。tp也是可能蓝屏的,之前跟群里的人DNF打团,打到一半他蓝屏了。
最后于 2020-4-28 23:17
被gdgdgdg编辑
，原因：
|
|
|
应该是Shark在1709侧漏了，谢谢各位的帮助，打个pg补丁，经过测试没蓝屏了
|
|
|
|
|
|
退一万步也不会是您的锅哈，源码让人学到了很多
最后于 2020-4-29 17:08
被lytywg编辑
，原因：
|
|
|
|
|
|
|
|
|
这套源码inline hook 0E不会异常，而且源码里测试用的idt代理函数使用的栈空间甚至还在trapframe的范围里，完全没有超过，应该不是的 
|
|
|
你频繁触发0E试试就知道了 用多个进程同时触发，应该会很快蓝屏 并且idt中断使用的内核栈并不是trapframe
最后于 2020-5-1 17:31
被luskyc编辑
，原因：
|
|
|
我也觉得和栈和触发次数没关系 |
|
|
|
|
|
inline hook不蓝屏，idt hook却蓝屏 是不是pg的问题可以用排除法测试 调试模式下，看看idt hook是否蓝屏 如果调试模式下也蓝屏，就不是pg的问题了 要是没有蓝屏，那就是pg没有完全过掉 pg检测到idt表被篡改就蓝了，可能是shark没有处理这个 |
|
|
好吧，感觉测试不够，我前边的推测可能有一半是错的。。。我挂个windbg测试一下（之前VirtualKD用惯了懒得搭双机调试环境了）。。。搞明白了回头专门发个帖避免后来人踩坑好了
|
|
|
附件过期了 想看看中继函数的写法 
|
|
|
|
hzqst
