![](https://img-blog.csdnimg.cn/20201014180756919.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
技术文章
int2e
这个作者很懒,什么都没留下…
展开
-
也谈SSDT Hook(二)
一、实战篇本不想摘代码,既然实战,就不多讲废话了,还是贴上吧,谁都有违背原则的时候:)。代码一:经典案例,替换NtQuerySystemInformation,列取所有查询到的进程名,我使用修改CR0寄存器的方法。#include typedef struct _SYSTEM_THREADS { LARGE_INTEGER KernelTime; L原创 2008-01-02 22:54:00 · 2504 阅读 · 0 评论 -
汇编指令ret正解
小小的ret汇编指令大有文章,找到ret的一段ret宏,可管中窥豹:)macro ret AddEspNum{ if ~ AddEspNum eq 0 ; return value if (AddEspNum mod 4) .err end if lea esp, [esp+(AddEspNum+4)] jmp原创 2008-01-09 11:38:00 · 7308 阅读 · 0 评论 -
利用FS寄存器获取KERNEL32.DLL基址算法的证明
FS寄存器指向当前活动线程的TEB结构(线程结构)偏移 说明000 指向SEH链指针004 线程堆栈顶部008 线程堆栈底部00C SubSystemTib010 FiberData014 ArbitraryUserPointer018 FS段寄存器在内存中的镜像地址020 进程PID024 线程ID02C 指向线程局部存储指针原创 2008-01-09 22:52:00 · 5039 阅读 · 0 评论