Короче я понял зачем это. У всех векторов в IDT, сервисного шлюза есть эта серия. И одинаков это код: .text:0000000140405581...
MaKsIm, Смотри lfence в этом случае нет.
MaKsIm, Чисто интересно как у тс работало. Это я наверно 32 смотрел. У меня на 10 получается возвращается константа 0x49, либо что то зависящее...
MaKsIm, > Т.е. ответьте на вопрос: что содержит rcx после call FindWindow? Я тогда посмотрел конечно, там указатель на локальные...
MaKsIm, А зачем в прерывании с ядерным стеком защита от rop, тем более что стек такой(dpc) начинается с начала ? Какой вообще смысл в...
MaKsIm, Вот вся процедура. Если разметить, что бы было наглядно: call L1 L0: loc_14040FDB1: add rsp, 8 call L2 L3:...
MaKsIm, Это просто последовательность call - del_ret - call - del_ret... тоесть никаких скрытых особенностей нет, что один call - del_ret, что...
Semiono, Возврат значения из апи может быть в rdx:rax, но никак не в rcx.
MaKsIm, Что и как сохранить ? [ATTACH] Кстати в отрисованном графе чушь какая то. Тоесть call ..EBF, а стрелка на блок ..DB1. Глюки иды наверно.
Начало это вход в прерывание, что там происходит мы не поймём, так как не известны структуры. .text:000000014040FC80 KiRaiseAssertion proc near...
MaKsIm, .text:000000014040FDB1 loc_14040FDB1: ; CODE XREF: KiRaiseAssertion+13E↓p .text:000000014040FDB1...
TrashGen, При запрещённых прерываниях.. Для задержки сделали бы цикл со счётчиком, тем более эта часть ядра писана на асм. Если бы реализовано...
Привет. В ядре 10 на ISR: KiRaiseSecurityCheckFailure KiRaiseAssertion KiDebugServiceTrap Есть чудо код, зачем это сделано загадка, я даже не...
Посмотрел, сообщение идёт через \\WindowsErrorReportingServicePort Может не дать его открыть, права попробовать урезать..
FindWindow -> rcx : random.
oep тема не простая, был определен критерий - абсолютная адресация и крутилосъ это под визорами, но это были протекторы. Что вы собираете, что за...
Вам нужен загрузчик пе из памяти. Так как используется модуль, а не шелл код, релоки импорт и тп. В длл потоки нельзя асинхронно создавать.
Как раз на еврейскую пасху.
Психиатр в этом деле нужен.
> хэндл (и переменная handle и тип данных) в конкретном куске кода и в винде вообще - это некий указатель Да что угодно, только вы это...
Имена участников (разделяйте запятой).
