2012年02月_动起手来实现白日梦

07月 03月 02月

转载 inline hook 多核安全相关问题随记。。。

Intel CPU相关指令：LOCK这是一个指令前缀，在所对应的指令操作期间使此指令的目标操作数指定的存储区域锁定，以得到保护。XADD先交换两个操作数的值，再进行算术加法操作。多处理器安全，在80486及以上CPU中支持。CMPXCHG比较交换指令，第一操作数先和AL/AX/EAX比较，如果相等ZF置1，第二操作数赋给第一操作数，否则ZF清0，第一操作数赋给AL/AX/E

2012-02-18 02:16:41 2814

转载 MmGetSystemRoutineAddress 函数源码

MmGetSystemRoutineAddress 函数源码作者：阿国哥发布于2007-3-29 20:34(星期四)以下代码反编译自XP+SP2内核文件ntoskrnl.exe(5.1.2600.3051)的MmGetSystemRoutineAddress函数函数功能:用来获取内核导出函数的地址,与用户态的GetProcessAddress函数雷同功能

2012-02-12 03:14:32 2696

转载用windbg分析蓝屏文件minidump随记！！

用windbg分析蓝屏文件minidump，以解决加载驱动蓝屏的相关问题随记。案例1：能够正常进入操作系统，按照如下提示设置: a. 右击“我的电脑”选择“属性”; b. 在弹出的对话框中选择 “高级”－> “设置”;c.“自动重新启动”不选中d.“将事件写入系统日志”选中 (为了方便配合系统日志分析)e..“写入调试信息”设置内存转储文件的类型, 共分：“小内存转

2012-02-11 14:35:11 15312

原创一个关于push ret HOOK的问题随记一下。

在学习内核HOOK的问题，发现自已的基础就是XX，记录一下！曾经的问题://加入pushad 及popad 这样会不会影响到JMP地址各个寄存器，//因为以上代码和JMP到的地址代码为同一个函数。会吗？//以上汇编代码处理后蓝屏，应该是堆栈不平问题。问题：如何保证破坏后堆栈平衡？ //正常lkd> u ObCheckObjectAccess l10nt!ObCh

2012-02-11 00:24:16 2533