KiSwapThread逆向分析

最新推荐文章于 2024-06-17 00:00:51 发布
最新推荐文章于 2024-06-17 00:00:51 发布
阅读量522 收藏
点赞数
分类专栏： windows内核 文章标签： 网络安全 windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45844442/article/details/131507376
版权

在这个函数当中会有很多与主线无关的汇编代码，但是并不影响主线的分析，所以基本遇到这种直接跳过，那么我们接下来说一下主线的逆向分析结果。

这个函数主要功能是寻找一个新的线程，然后切换线程并判断是否是同一进程，进而判断是否要切换CR3，而切换线程的本质就是切换堆栈也就是esp（从下面的分析图片中可以看出）
在这里插入图片描述在这里插入图片描述在这里插入图片描述
在这里插入图片描述在这里插入图片描述
在这里插入图片描述在这里插入图片描述在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

mi-key
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
线程切换 ——逆向分析 KiSwapThread
walker的博客
03-14 514
简介 在 Windows 内核中，线程的切换是通过 API 函数 KiSwapThread 实现获取将要执行的线程 _KTHREAD 结构体指针，再调用 KiSwapContex/SwapContex 函数实现线程上下文的切换，以实现线程的切换。 KiSwapThread/KiSwapContex/SwapContex 直接的调用关系如下： KiSwapThread 内核函数 KiSwapThread 的汇编代码分析如下： .text:004050BF ; =============== S U B
[转]（60）逆向分析 KiSwapThread
weixin_41875267的博客
11-23 266
一、回顾 上一篇博客，我带着以下的问题逆向分析了 KiSwapContext 和 SwapContext 这两个函数： SwapContext 有几个参数，分别是什么？ SwapContext 在哪里实现了线程切换 线程切换的时候，会切换CR3吗？切换CR3的条件是什么？ 中断门提权时，CPU会从TSS得到ESP0和SS0，TSS中存储的一定是当前线程的ESP0和SS0吗？如何做到的？ FS:[0]在3环指向TEB，但是线程有很多，FS:[0]指向的是哪个线程的TEB，如何做到...
线程切换 —— 逆向分析 KiSwapContex/SwapContex
walker的博客
03-14 307
简介 在 Windows 内核中，线程的切换是通过底层内核 API 函数 KiSwapContex/SwapContex 实现的。 KiSwapContex KiSwapContex 的逆向分析如下： .text:00404828 ; =============== S U B R O U T I N E ======================================= .text:00404828 .text:00404828 .text:00404828 ; __fastcall KiS
ie打开下载对话框分析
研究源码的最底层,只持有正确的仓位
01-15 1039
SHDOCVW!CIEFrameAuto::Navigate2在win2k\private\shell\shdocvw\iedisp.cpp中 IEDownload_Threadproc在win2k\private\shell\shdocvw\download.cpp中. 通过IWebBrowser2->Navigate2函数可以启动指定路径的进程，过360的防护。 然后在xp分析了下...
Windbg 2进程线程结构分析
fei1160688828的专栏
12-29 818
目录任务进程资源进程空间EPROCESS结构PEB内核模式和用户模式线程ETHREADTEBWOW进程注册表重定向注册表反射文件系统重定向创建进程最小进程和Pico进程最小进程任务管理器 任务 一个进程或者一个线程叫任务 进程资源 虚拟地址空间 全局唯一的进程ID 可执行映像 一个或多个线程 一个位于内核空间的EPROCESS 一个位于内核空间的对象句柄表 一个用于描述内存目录表其实位置的基地址 一个位于用户空间的进程环境块 一个访问令牌 进程空间 用户空间 内核空间 EPROCESS结构 １．查看所有
[转]（61）分析 KiFindReadyThread 函数 —— 线程优先级
weixin_41875267的博客
11-23 327
一、前言 通过之前的学习，我们知道了线程切换有两种触发情况，一种是API主动调用切换，另一种是时钟中断切换，时钟中断方式我们还没学。 当线程切换发生时，要调用 KiFindReadyThread 函数从调度链表里找到下一个就绪线程。这次课我们就来分析 KiFindReadyThread 函数是如何根据线程优先级找到就绪线程的。 这个函数用了二分查找和大量位运算，代码非常长，就算拿着源码看，都要花些功夫。 二、预备知识 逆向之前，介绍一下必不可少的预备知识。 ...
NT 下动态切换进程分析笔记
05-11 1830
Author: sinisterEmail:   sinister@whitecell.orgHomepage:http://www.whitecell.orgDate:   2005-11-162005-2-22  在应用层想要动态嵌入其他进程内存空间，我们可以调用 CreateRemoteThread() 等相关函数来实现。那么在内核态想要动态嵌入其他进程内存空间又如何做呢？这时我们需要调用一
《Dive into Windbg系列》AudioSrv音频服务故障
hnzwx888的专栏
06-22 1071
转载自：https://www.anquanke.com/post/id/176343 作者：BlackINT3 联系：blackint3@gmail.com 网站：https://github.com/BlackINT3 《Dive into Windbg》是一系列关于如何理解和使用Windbg的文章，主要涵盖三个方面： 1、Windbg实战运用，排查资源占用、死锁、崩溃、蓝屏等，以...
【UAC】Windows UAC 原理浅析
dr0op's blog
04-28 5563
UAC理解 简而言之 用户账户控制 （User Account Control） 是Windows Vista （及更高版本操作系统）通过弹框进一步让用户确认是否授权当前可执行文件来达到阻止恶意程序的目的。 从图中看可以理解为： 想要获得管理员权限： 进程已经拥有管理员权限。 进程被用户允许通过管理员权限允许。 UAC 的实现： ACL： windows 中的所有资源都有ACL。给各个程序划定了权限。 在开启了UAC之后，如果用户是标准用户，Windows 会给用户分配一个标准Access Toke
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8288
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
centos意外断电的情况下linux挂载磁盘报错（已解决）
最新发布
liu289747235的专栏
06-17 236
从上面的信息显示/dev/sdc出现了ext2fs_check_if_mount: Can't check if filesystem is mounted due to missing mtab file while determining whether /dev/sdc is mounted.如果版本太低就重新下载一个支持的版本，这里我选择的时安装到/usr/local/e2fsck，没有取修改系统自带的工具。我的设备时通过openebs管理的，没执行这部。我的最终解决：全程y就行了。
Mock数据
qq_46724069的博客
06-10 342
mock数据
Python中的上下文管理器（contextlib）模块
2402_84885073的博客
06-09 688
方法的对象，它们通常用于确保在代码块执行前后执行某些操作，比如资源获取与释放、设置和重置环境、错误处理等。模块提供了一些用于创建和管理上下文管理器（context managers）的工具。上下文管理器是实现了。模块，你可以更方便地创建和使用上下文管理器，以简化资源管理和错误处理代码。语句与上下文管理器一起使用，可以自动处理这些操作，使代码更加简洁和健壮。
[C++ STL] vector 详解
水墨不写bug
06-16 551
[C++ STL] vector 详解，变长数组，可变长的顺序表（Dynamic Sequence List），STL（Standard Template Library）
数据结构笔记-2、线性表
qq_66013948的博客
06-12 846
​ 线性表是具有相同数据类型的 n (n>=0) 个数据元素的有限序列，其中 n 为表长，当 n = 0 时线性表是一个空表。La1a2a3aixi1anLa1​a2​a3​...ai​xi1​...an​式中，a1a_1a1​是唯一的“第一个元素”，又称表头元素；ana_nan​是唯一的“最后一个元素”，又称表尾元素。除第一个元素外，每个元素有且仅有一个直接前驱。
Java中的Stream API及其应用
Programming Talk
06-16 219
Stream是元素的序列，这些元素支持顺序和并行的聚合操作。Stream不存储数据，它们只是对数据的一个视图。Stream操作可以分为两类：中间操作和终端操作。中间操作：返回Stream自身，允许链式调用，如filtermap等。终端操作：触发Stream计算，并返回结果，如collectforEach等。@Override本文介绍了Java中的Stream API及其实际应用场景。通过Stream API，我们可以以函数式编程风格简洁、清晰地处理集合数据。
HTML列表指南：有序、无序与自定义列表的妙用
一起coding，一起嗨。
06-16 199
HTML列表指南：有序、无序与自定义列表的妙用
C语言 | Leetcode C语言题解之第148题排序链表
m0_59237910的博客
06-13 367
C语言 | Leetcode C语言题解之第148题排序链表
通过Stream流对集合进行操作
weixin_43836337的博客
06-13 234
1.Stream.iterate(0, i -> ++i)：创建一个无限序列，从 0 开始，每次迭代时通过 i -> ++i 函数（一个 lambda 表达式）增加当前值。将本地的一个视频文件分成多块上传到Minio服务器，现在上传功能已经完成，需要调用minioClient对已经上传的文件重新合并成一个新的视频文件。2.limit(7)：使用 limit 方法来截取流的前 7 个元素，因为 iterate 创建的是无限序列，所以需要限制结果的数量。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值