WASM.RESEARCH Исследование, дизассемблирование и реконструирование программ. Mon, 10 Aug 2026 22:40:26 +0000 Mon, 10 Aug 2026 22:40:26 +0000 WASM https://wasm.in/forums/wasm-research.12/ modern Windows PE Loader (Windows 10 / 11 24H2) Sun, 02 Aug 2026 12:24:40 +0000 https://wasm.in/threads/modern-windows-pe-loader-windows-10-11-24h2.36805/ https://wasm.in/threads/modern-windows-pe-loader-windows-10-11-24h2.36805/ invalid@example.com (galenkane) galenkane ### 1. _LDR_DDAG_NODE — Граф зависимостей DLL (Directed Acyclic Graph)
В Windows 10/11 Microsoft полностью отказалась от линейной инициализации DLL и перешла на граф зависимостей
(DAG) для параллельной загрузки модулей в многопоточных процессах.
dt nt!_LDR_DDAG_NODE
+0x000 Modules : _LIST_ENTRY // Список всех _LDR_DATA_TABLE_ENTRY в этом узле
графа
+0x010 ServiceTagList : Ptr64 _LDR_SERVICE_TAG_RECORD
+0x018 LoadCount...

modern Windows PE Loader (Windows 10 / 11 24H2)]]> Формат ALPC-сообщений системных серверов Sun, 02 Aug 2026 11:42:04 +0000 https://wasm.in/threads/format-alpc-soobschenij-sistemnyx-serverov.35319/ https://wasm.in/threads/format-alpc-soobschenij-sistemnyx-serverov.35319/ invalid@example.com (Marylin) Marylin Недавно разбирался с клиент\сервером ALPC - между двумя моими прожками всё ок, связь есть. Но теперь хочу узнать, что передают клиенты системным ALPC-серверам типа: csrss\lsass\smss\svchost.exe, etc. То-есть мне нужно прочитать содержимое сообщений, которые эти серверы принимают\отправляют. Если получится, потенциально можно будет атаковать их.

Своим клиентом я могу подключиться к любому из портов ALPC, и даже посылать им сообщения, которые они молча проглатывают. Имена...

Формат ALPC-сообщений системных серверов]]> 22 Поймать syscall. Sat, 25 Jul 2026 14:55:38 +0000 https://wasm.in/threads/pojmat-syscall.36695/ https://wasm.in/threads/pojmat-syscall.36695/ invalid@example.com (Ahimov) Ahimov
Давно были известные трудности с прямым сервисным вызовом в протекторах(vmp). Если есть sysenter/syscall, это делает бесполезным юзер отладку(их нужно отдать в плагины, скрывающие дебаг). Думал как выцепить ядерный вызов посредством юзер, те без изменений ядра.

На 86(legacy) работало на сервисном возврате, те kifast..ret -> определялся сервисный прототип через аргументы.

На wow(compat) через слой wow.

Как в 64(long) поймать syscall ?

Покопался в архитектуре, обработка тут...

Поймать syscall.]]> 16 Пишу свой декомпилятор, как быть с функциями к которым у меня нет заголовков? Sun, 28 Jun 2026 22:27:49 +0000 https://wasm.in/threads/pishu-svoj-dekompiljator-kak-byt-s-funkcijami-k-kotorym-u-menja-net-zagolovkov.36760/ https://wasm.in/threads/pishu-svoj-dekompiljator-kak-byt-s-funkcijami-k-kotorym-u-menja-net-zagolovkov.36760/ invalid@example.com (Shooshpanchik) Shooshpanchik
Пишу свой декомпилятор, как быть с функциями к которым у меня нет заголовков?]]> 54 ExGenRandom — Генератор псевдослучайных чисел ядра Windows NT Tue, 09 Jun 2026 14:23:31 +0000 https://wasm.in/threads/exgenrandom-generator-psevdosluchajnyx-chisel-jadra-windows-nt.36748/ https://wasm.in/threads/exgenrandom-generator-psevdosluchajnyx-chisel-jadra-windows-nt.36748/ invalid@example.com (galenkane) galenkane ExGenRandom — Генератор псевдослучайных чисел ядра Windows NT
ОС: Windows 11 Build 26100 (ARM64)
Отладчик: WinDbg Preview (Kernel Debugging via Serial)
Целевая архитектура: ARM64 (Qualcomm Snapdragon)
Экспорт nt!ExGenRandom — это фундаментальный генератор псевдослучайных чисел (PRNG) ядра Windows NT. На нём строятся все основные API генерации случайных чисел как в kernel-mode (RtlRandom, RtlRandomEx), так и косвенно в user-mode...

ExGenRandom — Генератор псевдослучайных чисел ядра Windows NT]]> 9 SetWindowsHookExW — полная внутренняя реализация в ядре Tue, 02 Jun 2026 21:05:59 +0000 https://wasm.in/threads/setwindowshookexw-polnaja-vnutrennjaja-realizacija-v-jadre.36746/ https://wasm.in/threads/setwindowshookexw-polnaja-vnutrennjaja-realizacija-v-jadre.36746/ invalid@example.com (galenkane) galenkane

Цепочка вызовов (Call Chain)
user32!SetWindowsHookExW(idHook, lpfn, hMod, dwThreadId)
→ syscall → win32k!stub_UserSetWindowsHookEx
→ win32k!NtUserSetWindowsHookEx (ApiSet dispatch через
W32GetWin32kApiSetTable+0xDB8)
→ win32kfull!NtUserSetWindowsHookEx (реализация)
→ Feature_656357688 ?
zzzSetWindowsHookEx_New() : zzzSetWindowsHookEx()
NtUserSetWindowsHookEx...

SetWindowsHookExW — полная внутренняя реализация в ядре]]> 2 DirectComposition — Kernel Research Tue, 02 Jun 2026 03:22:59 +0000 https://wasm.in/threads/directcomposition-kernel-research.36747/ https://wasm.in/threads/directcomposition-kernel-research.36747/ invalid@example.com (galenkane) galenkane DirectComposition — Kernel Research via WinDbg
Полный ресерч архитектуры DirectComposition в ядре Windows (ARM64), полученный через живое disassembly в WinDbg. Исследование проводилось на Parallels Desktop VM (Windows ARM64) с kernel debugging через кастомный windbg_agent.dll MCP.
Архитектура: 3-Layer System
DirectComposition — это 3-уровневая система в ядре Windows:
Код (Text):
  1. User32.dll / DComp.dll...
DirectComposition — Kernel Research]]> Gemini. Sat, 09 May 2026 00:38:42 +0000 https://wasm.in/threads/gemini.36789/ https://wasm.in/threads/gemini.36789/ invalid@example.com (Ahimov) Ahimov 178 Расчехляйте свои визоры! Thu, 09 Apr 2026 08:46:17 +0000 https://wasm.in/threads/raschexljajte-svoi-vizory.34487/ https://wasm.in/threads/raschexljajte-svoi-vizory.34487/ invalid@example.com (Rel) Rel
Расчехляйте свои визоры!]]> 198 OEP(протекторы). Mon, 23 Mar 2026 05:56:28 +0000 https://wasm.in/threads/oep-protektory.33242/ https://wasm.in/threads/oep-protektory.33242/ invalid@example.com (Indy_) Indy_
Тут было некоторое обсуждение https://exelab.ru/f/index.php?action=vthread&forum=6&topic=25429&page=0

Учитывая что там своим не компетентным" мнением люди создают лишь помехи и вводят в заблуждение(не намеренно), не видя общей картины", то обсудим тут. Я покажу что общее и элегантное решение возможно. Но это немного позже(нужно отладить кое что).]]> 77 Что такое эмуляция ? Fri, 06 Mar 2026 06:47:21 +0000 https://wasm.in/threads/chto-takoe-ehmuljacija.36715/ https://wasm.in/threads/chto-takoe-ehmuljacija.36715/ invalid@example.com (Entropy) Entropy 28 исследование windows Sun, 21 Dec 2025 17:08:02 +0000 https://wasm.in/threads/issledovanie-windows.36688/ https://wasm.in/threads/issledovanie-windows.36688/ invalid@example.com (gale) gale Учётная запись пользователя в windows создаётся с включёнными визуальными эффектами. Какие системные файлы нужно изменить, чтобы учётная запись пользователя в windows создавалась с отключёнными визуальными эффектами?]]> 6 Рассчёт RVA адреса Sun, 23 Nov 2025 11:29:49 +0000 https://wasm.in/threads/rasschjot-rva-adresa.34509/ https://wasm.in/threads/rasschjot-rva-adresa.34509/ invalid@example.com (Entropy) Entropy 12 Годится ли паллельное программирование как способ усложнения отладки и реверса кода Fri, 11 Apr 2025 16:01:55 +0000 https://wasm.in/threads/goditsja-li-pallelnoe-programmirovanie-kak-sposob-uslozhnenija-otladki-i-reversa-koda.34734/ https://wasm.in/threads/goditsja-li-pallelnoe-programmirovanie-kak-sposob-uslozhnenija-otladki-i-reversa-koda.34734/ invalid@example.com (piece) piece 13 Визоры больше не нужны Sun, 30 Mar 2025 18:14:28 +0000 https://wasm.in/threads/vizory-bolshe-ne-nuzhny.33901/ https://wasm.in/threads/vizory-bolshe-ne-nuzhny.33901/ invalid@example.com (Rel) Rel ]]> 196 Реверс ARM бинарика Sat, 08 Feb 2025 21:43:59 +0000 https://wasm.in/threads/revers-arm-binarika.35281/ https://wasm.in/threads/revers-arm-binarika.35281/ invalid@example.com (Zubastic) Zubastic https://habr.com/ru/articles/513944/ но там достаточно примитивно.

Пытаюсь расковырять файл https://github.com/ludwig-v/wireles...U2W/_/2020.07.08.1306/Extracted/usr/sbin/hcid от прошивки usb донгла. DIE показывает, что это потенциальный upx, однако...

Реверс ARM бинарика]]> 12 Перехват EOleException Mon, 13 Jan 2025 10:31:23 +0000 https://wasm.in/threads/perexvat-eoleexception.35264/ https://wasm.in/threads/perexvat-eoleexception.35264/ invalid@example.com (malex) malex
Можно ли каким нибудь образом перехватить исключение блока try except до его обработки, например EOleException?]]> 34 VMWare cache trouble Sat, 11 Jan 2025 10:12:03 +0000 https://wasm.in/threads/vmware-cache-trouble.35263/ https://wasm.in/threads/vmware-cache-trouble.35263/ invalid@example.com (hcwarper) hcwarper Есть нетривиальный вопрос.
Может кто-то сталкивался с подобной проблемой?
Патчу из драйвера программу при её запуске.
Через PsSetLoadImageNotifyRoutine.
Всё работает .
Почему я так делаю , да потому что программа весьма жёстко отслеживает свою целостность.
Программа стартует и работает.
Закрываю программу , запускаю снова и она не стартует.
Потому что не проходит проверка целостности.
Под отладчиком видно, что патч , сделанный мною из драйвера,...

VMWare cache trouble]]> 19 HyperDbg Wed, 08 Jan 2025 06:44:35 +0000 https://wasm.in/threads/hyperdbg.35261/ https://wasm.in/threads/hyperdbg.35261/ invalid@example.com (asmlamo) asmlamo https://hyperdbg.org/


Кто с ним сталкивался ? Имеет смысл изучать ?]]> 3 Как увеличить размер локального буфера(массива) в стеке без лишних телодвижений? Tue, 29 Oct 2024 13:41:14 +0000 https://wasm.in/threads/kak-uvelichit-razmer-lokalnogo-bufera-massiva-v-steke-bez-lishnix-telodvizhenij.35178/ https://wasm.in/threads/kak-uvelichit-razmer-lokalnogo-bufera-massiva-v-steke-bez-lishnix-telodvizhenij.35178/ invalid@example.com (CyberRSR) CyberRSR В ней есть локальный массив LastMeasStr, который нужно увеличить в 128 раз или больше. Массив локальный для функции, которая хрен пойми где вызывается, есть только смещение.
Посмотреть вложение 9141
Как безболезненно...

Как увеличить размер локального буфера(массива) в стеке без лишних телодвижений?]]> 15