- 博客(10)
- 资源 (64)
- 收藏
- 关注
转载 驱动中获取PsActiveProcessHead变量地址的五种方法
标 题: 【原创】驱动中获取PsActiveProcessHead变量地址的五种方法作 者: 静寞时 间: 2012-02-11,03:48:21链 接: http://bbs.pediy.com/showthread.php?t=146340--------------------------------------------------------------------
2013-11-24 09:27:24 3938 1
转载 ring0下的 fs:[124]
反汇编内核函数的时候经常会看到mov eax, fs:[124].一直没弄清楚fs寄存器在ring0存放的是什么。今天查了下资料。 fs寄存器在Ring0中指向一个称为KPCR的数据结构,即FS段的起点与KPCR结构对齐。而在Ring0中fs寄存器一般为0x30。 这样看KPCR的数据结构:nt!_KPCR +0x000 NtTib : _N
2013-11-14 16:18:47 2952
转载 Win32汇编数据对齐相关的伪指令(ALIGN、EVEN、ORG)
32 位的寄存器容量是 4 字节, 如果内存中的数据都按 4*n 字节对齐, 肯定会加快吞吐速度;但事实并非如此, 不同大小的数据可能会让寄存器别别扭扭地去处理, 从而降低了运行速度!如果使用对齐, 就会浪费掉一些内存空间; 其实这是一个需要权衡 "速度" 与 "内存" 得失的问题.准备使用的测试文件:; Test11_1.asm.586.model flat, s
2013-11-12 20:55:15 1360
转载 初步认识MDL
一、内存描述符列表 (MDL) 是一个系统定义的结构,通过一系列物理地址描述缓冲区。执行直接 I/O 的驱动程序从 I/O 管理器接收一个 MDL 的指针,并通过 MDL 读写数据。一些驱动程序在执行直接 I/O 来满足设备 I/O 控制请求时也使用 MDL。驱动程序编写人员不应该假设 MDL 描述的内存页的顺序或内容。驱动程序不得依赖于 MDL 指向的任何位置的数据值,并且不应该直接取消
2013-11-09 20:29:13 2018
转载 寻找调用DebugPort的函数
打开虚拟机,打开一个程序。如 LoadSys.exe之后本机打开Windbg通过串行端口连接虚拟机。lkd->!process 0 0 LoadSys.exe得到LoadSys.exe 的EPROCESS地址如。0x87654321lkd->ba r4 0x87654321+0xec (WIN7上DebugPort 偏移为 0xec,可以通过lkd->dt nt!_
2013-11-09 19:22:33 2915
转载 WINDOWS系统调用 和 SYSENTER系统服务调用过程
Windows 2K通过2Eh中断来实现系统调用的,但是在XP后使用SysEnter来实现系统调用了,同时2Eh中断还是保存着的。不管是2EH中断还是SYSENTER,Windows对所有的系统调用都会生成下面的KTRAP_FRAME堆栈框架。 KTRAP_FRAME框架结构图 用户态下使用2EH中断时,CPU会自动产生0x78和0x74 以保存用户态下的堆栈和指针;若直接是
2013-11-06 13:41:30 3457
转载 Windows 中 FS 段寄存器
代码运行在RING0(系统地址空间)和RING3(用户地址空间)时,FS段寄存器分别指向GDT(全局描述符表)中不同段:在RING3下,FS段值是0x3B(这是WindowsXP下值;在Windows2000下值为0x38。差别就是在XP下RPL=3);运行在RING0下时,FS段寄存器值是0x30。下面以XP为例说说。 一. RING3下的FS 当代码运行在Ri
2013-11-06 13:28:10 4613
转载 sysenter Hook
SYSENETER是一条汇编指令,它是在Pentium® II 处理器及以上处理器中提供的,是快速系统调用的一部分。SYSENTER/SYSEXIT这对指令专门用于实现快速调用。在这之前是采用INT 0x2E来实现的。INT 0x2E在系统调用的时候,需要进行栈切换的工作。由于Interrupt/Exception Handler的调用都是通过 call/trap/task这一类的gate来实现的
2013-11-05 20:51:29 2759
转载 重载内核全程分析笔记
标 题: 【原创】重载内核全程分析笔记作 者: Speeday时 间: 2013-08-20,20:19:46链 接: http://bbs.pediy.com/showthread.php?t=177555还记得七夕的那几天,老V率先把AGP的源码发布出来,然后是EasyDebugger的源码出土,后面陆续有很多大牛把珍藏已久的代码拿出来晒太阳,那段疯狂的日子,让看雪论坛都面
2013-11-05 09:15:44 13211 6
转载 ExAllocatePool函数
如同C里面的malloc一样,内核模式下的ExAllocatePool也是非常重要的.但是一说到ExAllocatePool函数就不得不提ExAllocatePoolWithTag函数.对比一下两个函数的调用方式: PVOID p = ExAllocatePool(Pool_Type, Size); PVOID p = ExAllocatePoolWithTag(Poo
2013-11-04 16:29:39 4661
字体wps.zip 用于linux wps 使用
2020-03-16
Nat_Type_Tester_.rar
2019-12-26
msfupdate.erb
2019-11-04
fuzz工具 teenage mutant ninja turtles
2019-01-14
Sybase ASE 12.5.4 PC 客户端
2018-12-12
Win32 OpenSSL
2015-04-18
ActivePerl
2015-04-18
编写 Debugging Tools for Windows 扩展 实例
2014-04-02
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人