摘要: 本篇blog的内核可能会杂乱无章,未成年禁止观看:)一。首先对于内核插32bit user apc的情况,内核有一个导出但undoucmented的函数来处理的,如下:nt!PsWrapApcWow64Thread:fffff800`0291b020 65488b042588010000 mov rax,qword ptr gs:[188h]fffff800`0291b029 488b4870 mov rcx,qword ptr [rax+70h]fffff800`0291b02d 4883b92003000000 cmp qword ptr [rcx+320... 阅读全文
posted @ 2013-07-16 17:22 kkindof 阅读(1858) 评论(0) 推荐(0) 编辑
摘要: 一.事由二.问题三.追踪溯源四.解决问题五.完**********************************************************************************************一. 事由最近有个需求是需要在32bit进程的某个线程A在调用createthread创建线程B的时候,如果线程B的起始地址符合指定的值则需要把该进程dump出来,由于指定的系统环境是windows 64位,不能HOOK,所以采用了PsSetCreateThreadNotifyRoutine的方式,在CreateThreadNotify得到调用时,判断创建的线程起 阅读全文
posted @ 2013-07-16 15:26 kkindof 阅读(4936) 评论(1) 推荐(1) 编辑