能力值：
( LV12，RANK：1010 )
|
-
-
2 楼
wt
.
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
FindWindow是shadow ssdt里面的，不会通过ntdll.dll
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
od只跟r3滴,用内核调试器如windbg或者softice或者syser等....
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
我只是想知道调用的是哪个函数而已..要一个名字..
楼上说是通过 shadow SSDT ..
|
能力值：
( LV12，RANK：210 )
|
-
-
6 楼
user32.dll( FindWindow)---->win32k.sys(NtUserFindWindowEx)
sub_77D2C7AC proc near
mov eax, 117Ah---------------------------------->117AH服务号
mov edx, 7FFE0300h------------------------存放地址指针
call dword ptr [edx] --------------------KiFastSystemCall
retn 14h
sub_77D2C7AC endp
|
能力值：
( LV9，RANK：610 )
|
-
-
7 楼
Shadow服务的服务号从0x1000开始，KiFastCallEntry据此判断应该从哪张表里取服务地址。。。
|
能力值：
( LV5，RANK：60 )
|
-
-
8 楼
应该是117ah，而不是你说的17ah，GDI操作的调用号是大于0x1000的
小于1000h的经sysenter处理例程计算后就查KeSeviceDescriptorTable或KeServiceDescriptorTableShadow的第一个成员，也就是SSDT表
大于1000h的经sysenter处理例程计算后就查KeServiceDescriptorTableShadow的第2个成员，也就是SSDTShadow表，然后将调用号右移一位得到索引号
按你的说法那么sysenter的处理例程都分不清楚17ah是该查ssdt还是查ssdtshadow
|
能力值：
( LV12，RANK：210 )
|
-
-
9 楼
恩 是117Ah 
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
user32.dll( FindWindow)---->win32k.sys(NtUserFindWindowEx)
sub_77D2C7AC proc near
mov eax, 117Ah---------------------------------->117AH服务号
mov edx, 7FFE0300h------------------------存放地址指针
call dword ptr [edx] --------------------KiFastSystemCall
retn 14h
sub_77D2C7AC endp
sub_77D2C7AC proc near这个是如何确定的？
|
能力值：
( LV2，RANK：10 )
|
-
-
11 楼
不好意思，我的IDA出问题了，没看出来。现在好了。
|
|
|
|
