Great Че-то я не догоняю, поясни if(MmIsAddressValid() && (irql < DISPATCH_LEVEL)) то еще что-то надо прочесывать? Кстати вот еще: как надежнее...
genesis ZwOpenFile ZwCreateSection ZwMapViewOfSection - кому экспортировали-документировали, пушкину? :) Great а разве оно не монопенисуально...
сталкивался. Выгружаемые (0x02000000) секции. (например таблица импорта) это так и должно быть
DeJavu Если есть возможность сделать в соответствии с рекомендациями микрософт, то имхо это самый верный путь. Для хоть сколечко серьезного...
http://technet.microsoft.com/en-us/library/bb742447.aspx http://www.addzone.ru/doc/act/article/18.html реально придется заменять джину своей дллкой
dot_sent ну если оно слинкуется без сообщений типа unresolved reference symbol _imp_ExitProcess@4 то вероятность что оно будет корректно работать...
только через LPC в ЛСАСС
Marik Админу тоже можно запретить PROCESS_TERMINATE вопрос в том - насколько надежно надо запретить? админу естесно лазейки найти полегче
_Poly_Glot_ Есть один ньюанс - в момент этого евента ДЛЛ еще не в списке Например на нее не сработает GetModuleFileName
Marik А если совсем по-простому - через секьюрити?
Лет 6 назад у меня были проблемы подобного рода - надо было защитить свой код, тырили сцуко на глазах. Я заперся дома и за неделю наваял достачно...
black_hole была в вин16 такая чудная возможность самозагрузки винворд например подробностей я правда уже на помню, вроде что-то с самим форматом...
steelfactor ну например нельзя будет сказать WaitForSingleObject на хендл этого процесса кстати возможно и OpenProcess не сработает
смотрел виндыбыгой в кернел-моде на варе естесно стартишь вару и когда виндыбыга ловит бряк говоришь ему что-то типа: bp nt!ExAllocatePoolWithTag...
еще стек этого тага fffffadf`f260f5b8 fffff800`0140028f nt!ExAllocatePoolWithTag fffffadf`f260f5c0 fffff800`01418f69 nt!PpInitializeBootDDB+0x1bf...
Yuske я не поленился и посмотрел что это за таг вот его вызов: fffff800`013ffd90 41b850702020 mov r8d,20207050h fffff800`013ffd96 498bd5...
С дровами как раз многократно проще Таги только надо один раз не полениться и завести на каждый тип операции
мы юзаем gflags течки - это полный П, хуже только случайные падения без дампа :(
coocky слушай, ты уж не обижайся плиз, но если ты ваще не в курсе шо такое хипы - может бут-екзекьюте отдать другому челу на девелоп?
coocky че делаешь-то? страшный вирус? или просто разминка пальцев
Имена участников (разделяйте запятой).
