windows：根据特征码查找内核任意函数
在windows平台做逆向、外挂等，经常需要调用很多未导出的内核函数，怎么方便、快速查找了？可以先用IDA等工具查看硬编码，再根据硬编码定位到需要调用的函数。整个思路大致如下： 1、先查找目标模块 遍历模块的方式有多种。既然通过驱动在内核编程，这里选择遍历driverObject ...
原文：Windows内核函数
字符串处理 在驱动中一般使用的是ANSI字符串和宽字节字符串，在驱动中我们仍然可以使用C中提供的字符串操作函数，但是在DDK中不提倡这样做，由于C函数容易导致缓冲区溢出漏洞，针对字符串的操作它提供了一组函数分别用来处理ANSI字符串和UNICODE字符串。 针对两种字符串，首先定义了它们的结构体 typedef struct STRING USHORT Length 字符串的长度 USHORT ...
2017-10-24 20:55 0 1077 推荐指数：
相关推荐
Windows内核开发-7-IRP和派遣函数
Windows内核-7-IRP和派遣函数 IRP以及派遣函数是Windows中非常重要的概念。IRP 是I/O Request Pocket的简称，意思是I/O操作的请求包，Windows中所有User和Kernel之间的交流都会被封装成一个IRP结构体，然后不同的IRP会被派遣到不同的派遣 ...
Win10X64 获取SSDT、Shadow SSDT和内核函数地址--Windows内核学习记录
编译环境Windows10 X64 首先通过 msr = (PUCHAR)__readmsr(0xC0000082);获取内核函数入口地址, msr在开启内核隔离模式下获取到的是KiSystemCall64Shadow函数地址,在未开启内核隔离模式下获取到的是KiSystemCall64 ...
Windows内核——直接调用0环函数实现ReadProcessMemory&WriteProcessMemory函数
直接调用0环函数实现ReadProcessMemory&WriteProcessMemory函数 工具 IDA VC++6.0 步骤 一、实现ring0调用ReadProcessMemory 1、ALT+T 找到ReadProcessMemory 2、找到 ...
Windows 内核（WRK）编译
引子 WRK 是微软于 2006 年针对教育和学术界开放的 Windows 内核的部分源码， WRK（Windows Research Kernel）也就是 Windows 研究内核， 在 WRK 中不仅仅只提供了 Windows 内核模块的部分代码，其还提供了编译工具， 也就 ...
【Windows】线程漫谈——线程同步之等待函数和事件内核对象
本系列意在记录Windwos线程的相关知识点，包括线程基础、线程调度、线程同步、TLS、线程池等。 用内核对象进行线程同步 内核对象：Windows操作系统使用内核对象来管理进程、线程、文件等诸多种类的大量资源。内核对象的创建通常是通过Windows API ...
ObReferenceObjectByHandle内核函数
大槪就是看这个句柄是当前进程的句柄还是当前线程的句柄，最后再看看这AccessMode是内核还是用户态下，内核的话，句柄表就用ObpKernelHandleTable，用户态的话就用当前进程的句柄表 NTSTATUSObReferenceObjectByHandle ...
Linux 内核和 Windows 内核有什么区别？
Windows 和 Linux 可以说是我们比较常见的两款操作系统的。 Windows 基本占领了电脑时代的市场，商业上取得了很大成就，但是它并不开源，所以要想接触源码得加入 Windows 的开发团队中。 对于服务器使用的操作系统基本上都是 Linux，而且内核源码也是开源 ...