Как найти вектор NtUserSetWindosHookEx

Очень нужен "надежный" способ определить по какому вектору в Shadow SSDT лежит NtUserSetWindosHookEx. К сожалению, эта функция не экспортируется, поэтому трюк с GetProcAddress + посмотреть mov ax, vector не проходит.

 

естественно, эта функция не экспортируется -)
я бы предложил дизасм + анализ кода SetWindowsHookEx. В конце концов вызов все равно определится. Единственный минус - сложно и неудобно.

 

Это конечно вариант, но уж слишком сложно, тем более, вызов NtUserSetWindosHookEx находится "глубоко".

Уж проще тогда сделать таблицу: версия dll - вектор

 

Ну да, самый простой вариант по-моему=)

 

Что странно - Rootkit Unhooker показывает все векторы с правильными именами функций... Попробую пореверсить.

 

Посмотри номер сервиса NtUserSetWindosHookEx - это и будет индекс в SDT

 

Clerk
Логично ) Но.. Как я понял его и интересует номер сервиса =0))

 

Не понял?

 

функция НЕ ЭКСПОРТИРУЕТСЯ

 

Я уже делал это когдато, тока с другой функцией Win2k

 

Ух... Безнадёжно.

 

Да какая разница, экспортируется или нет.

 

Ну в смысле как его определить - видимо его интересует. Наверное, хочет напрямую сисентером вызывать.
Вот и интересует его как найти номер сервиса.. Ну либо жестко зашить для разных версий, либо искать как-то саму NtUserSetWindowsHookEx, вероятно, дизасмом экспортируемой SetWindowsHookEx.

 

Я вчера приводил пример для ntoskrnl.

 

предлогаю определять эмпирически. не знаю тока действенный метод иле нед

NtUserSetWindosHookEx вроде единственный вызываемый через syscall прекол в SetWindowsHookEx. сталобыть ставем перехват на FastSysCallRet(или как там его), делоем вызов SetWindowsHookEx. срабатывает обработчек, смотрем чо там лежит в стеке (адрес возврата из KiFastSystemCall), несколькими байтами выше буит mov eax,index(NtUserSetWindosHookEx). не забыть потом перехват снять.

 

Ну вот!

 

либо даже легче, поставеть на KiFastSystemCall int3, вызвать SetWindowsHookEx, схватить исключение, опять же взять адрес возврата и посмотреть чуть выше.. ну и не забыть инт3 убрать

 

Пойду посмотру дизассемблером...

 

Freeman прав.

 

тогда уж просто посмотреть EAX ивсе тут