2022 年 9月 18 日随笔档案 - zhang_derek

七、回调

摘要： 7.1.进程回调 DriverMain.c #include <ntifs.h> PUCHAR PsGetProcessImageFileName(PEPROCESS Process); //创建进程回调函数 VOID CreateProcessListen( _In_ HANDLE ParentI 阅读全文

posted @ 2022-09-18 23:35 zhang_derek 阅读(249) 评论(0) 推荐(0)

六、APC

摘要： 6.1.APC初始化 dt _KTHREAD与APC相关的项 +0x03a Alerted : [2] UChar //可警惕。只有允许被唤醒的情况下，警惕才有意义 +0x03c Alertable : Pos 5, 1 Bit //是否可以被唤醒 +0x040 ApcState : _KAPC_S 阅读全文

posted @ 2022-09-18 23:34 zhang_derek 阅读(358) 评论(0) 推荐(0)

五、句柄表

摘要： 5.1.全局句柄 1.全局句柄表中只存储进程和线程对象,把PID/CID当作索引在全局句柄表中查找对应对象结构. 2全局句柄表有三张表： 0表：共4096字节，每个元素占8个字节，总共可以存512个元素，每个元素指向的就是object本身 1表：共4096字节，每个元素（占4字节）存的是表的索引，可阅读全文

posted @ 2022-09-18 22:44 zhang_derek 阅读(259) 评论(0) 推荐(0)

四、进程线程

摘要： 4.1.WRK 1.Project-->New Project-->选择wrk目录-->ok 2.Add and Remove Project Files >选中四个文件-->Add Tree 3.搜索 4.2.KPCR kpcr：cpu核控制块，cpu一个核一个kpcr结构 fs=0x30 在内核阅读全文

posted @ 2022-09-18 22:40 zhang_derek 阅读(175) 评论(0) 推荐(0)