за NT Workstation
1 отговора
53 прегледа
Re: за NT Workstation
в NT функцията за "преброяване" на процесите е NTQuerySystemInformation - намира се в NTDLL.DLL. (това е недокументирана функция, но в интернет може да се намери необходимата информация за нея).
с други думи - това е функцията която трябва да излъжем.
- единият вариант е да се закачим именно за тази функция - тоест global-ен spy за функции в user mode - и тъй като това е NT, единственият начин който знам е с DLL Inject-ion във всеки running process (и във всеки новосъздаден такъв) - и съответно преправяне на import таблицата към NTDLL.DLL за всеки модул (или преправяне на export таблицата на NTDLL.DLL).
по отношение на този подход - надявам се неща като ApiHooks ([линк]) или ApiSpy32([линк]) да помогнат...
- другият вариант (който лично аз бих препоръчал) е да се закачиш за kernel mode service-то който се вика от NtQuerySystemInformation - (голяма част от функциите в NTDLL.DLL, просто зареждат регистрите с необходимата информация и правят int 0x2E) - с други думи за ZwQuerySystemInformation.
техниките на hook-ването в kernel mode е засегнато тук там в интернет :)
поглеждам в торбата с download-нати "избрани" и "свещени" URL-та и намирам:
Hooking Windows NT System Services - това е глава от книгата на "Undocumented Windows NT" на небезизвестния Prasad Dabak
[линк]
source кода на regmon за Windows NT ([линк]) (hook-ват се функциите за четене/писане в registry-то)
Vtrace - system tracer - на страничката има и препратка към статията в MSDN-то.
[линк] - не дават сорс код, но дизасемблирането не е нещо забранено :))
[линк]
[линк]
с други думи - това е функцията която трябва да излъжем.
- единият вариант е да се закачим именно за тази функция - тоест global-ен spy за функции в user mode - и тъй като това е NT, единственият начин който знам е с DLL Inject-ion във всеки running process (и във всеки новосъздаден такъв) - и съответно преправяне на import таблицата към NTDLL.DLL за всеки модул (или преправяне на export таблицата на NTDLL.DLL).
по отношение на този подход - надявам се неща като ApiHooks ([линк]) или ApiSpy32([линк]) да помогнат...
- другият вариант (който лично аз бих препоръчал) е да се закачиш за kernel mode service-то който се вика от NtQuerySystemInformation - (голяма част от функциите в NTDLL.DLL, просто зареждат регистрите с необходимата информация и правят int 0x2E) - с други думи за ZwQuerySystemInformation.
техниките на hook-ването в kernel mode е засегнато тук там в интернет :)
поглеждам в торбата с download-нати "избрани" и "свещени" URL-та и намирам:
Hooking Windows NT System Services - това е глава от книгата на "Undocumented Windows NT" на небезизвестния Prasad Dabak
[линк]
source кода на regmon за Windows NT ([линк]) (hook-ват се функциите за четене/писане в registry-то)
Vtrace - system tracer - на страничката има и препратка към статията в MSDN-то.
[линк] - не дават сорс код, но дизасемблирането не е нещо забранено :))
[линк]
[линк]