-
-
[求助]关于堕落天才的那个对抗Ring0的代码
-
发表于: 2009-3-22 10:11
-
__declspec(naked) NTSTATUS __stdcall MyNtOpenProcess(PHANDLE ProcessHandle,
ACCESS_MASK DesiredAccess,
POBJECT_ATTRIBUTES ObjectAttributes,
PCLIENT_ID ClientId)
{
DbgPrint("NtOpenProcess() called");
__asm{
push 0C4h
push 804eb0d8h //共十个字节 //804e3890 //805727c7 Ntopenprocess //804eb0d8
jmp [JmpAddress]
}
}我这是xpsp3地址有些3变化，
但是当驱动加载上以后我用monitor监视。
问题1:
这个代码好象仅仅是在monitor里显示了什么时候什么时间NtOpenProcess被调用过的把？
http://bbs.pediy.com/showthread.php?t=40832&highlight=%E5%A0%95%E8%90%BD+%E8%90%BD%E5%A4%A9+%E5%A4%A9%E6%89%8D
代码地址！
问题2:
怎么样才能让调用NtOpenProcess失败呢？
求助指点迷津！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
你也太疯狂了，会出问题的
|
|
|
都naked了，还用高级语法
，这样堆栈都被破坏了。
|
|
|
|
