青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品

Ay's Blog@CNSSUESTC

windbg學習筆記 FOR 內核調試(四) -- PspTerminateThreadByPointer

????? 近日事情頗多 喝茶拉 吃好吃的還有看電影啊~磨去不少時間,甚歡.難得放假回家 一直被拉出去也沒看什么東西 前段時間剛跟鼠仙討論了下 我跑去看了下進程保護的一些東東,但是膚淺的很 就研究了下WRK的一些代碼 發現關閉進程都跟這個PspTerminateThreadByPointer函數有關,NtProcess的代碼很簡單,就是得到進程的EPROCESS 然后遍歷它的線程鏈表 接著就一個個用 PspTerminateThreadByPointer 函數掛掉就OK? 也就是說想要保護進程 掛鉤個 PspTerminateThreadByPointer 效果還是很理想的??? 反正拿這個去實現R3下進程保護應該綽綽有余了
為了練習下windbg的使用 準備隨便跟下我們的
PspTerminateThreadByPointer 函數 冰刃剛下速度太慢了 我就用任務管理器試驗的 呵呵

首先開虛擬機,然后一陣啰嗦的操作后進入正題

先給我們的函數下個斷
kd> bp nt!PspTerminateThreadByPointer

我們bl看看
kd> bl
?0 e 805c9b8e???? 0001 (0001) nt!PspTerminateThreadByPointer

OK 成功了 然后打開任務管理器 在隨便打開個程序? INSTDRV.exe? (平時加載驅動用的,呵呵)

然后拿任務管理器做掉這個進程 HOHO~~

Breakpoint 0 hit
nt!PspTerminateThreadByPointer:
805c9b8e 8bff??????????? mov???? edi,edi

斷下來了? 匯編顯示的是這個函數的第一條語句 不過這個命令無任何意義

拿k指令看看函數堆棧

kd> k
ChildEBP RetAddr?
f7932d28 805c9d8b nt!PspTerminateThreadByPointer
f7932d54 8053e648 nt!NtTerminateProcess+0xd5
f7932d54 7c92e4f4 nt!KiFastCallEntry+0xf8
0007f73c 7c92de5c ntdll!KiFastSystemCallRet
0007f740 7c801e3a ntdll!ZwTerminateProcess+0xc

喃~函數堆棧是個好東西? 呵呵? 那么我們結束進程的過程就清楚了 由于后面的函數堆棧沒法顯示 不知道為什么 反正差不多的調用流程就是這樣
ZwTerminateProcess- NtTerminateProcess - PspTerminateThreadByPointer 中間那2個函數干嘛用的我就不太清楚了?? 反了下 ZwTerminateProcess
kd> uf nt!zwterminateprocess
nt!ZwTerminateProcess:
805001bc b801010000????? mov???? eax,101h
805001c1 8d542404??????? lea???? edx,[esp+4]
805001c5 9c????????????? pushfd
805001c6 6a08??????????? push??? 8
805001c8 e8c4e20300????? call??? nt!KiSystemService (8053e491)
805001cd c20800????????? ret???? 8


nt!KiSystemService這個函數好像是跟SSDT有關 估計就是跑去找NtProcess的地址的吧 那么中間那2個函數可以自己意淫一下應該就是 進行用戶態和內核態之間的切換了~
不知道是不是這樣的? 希望哪位大牛可以解答下小弟的推測正確與否~ 在此謝過~!

然后單步調試開始了 嘿嘿 為了方便看 我重新斷了次(之前拿r指令開了顯示寄存器信息開關了 呵呵)
Breakpoint 0 hit
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b8e esp=f7932d2c ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer:
805c9b8e 8bff??????????? mov???? edi,edi
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b90 esp=f7932d2c ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x2:
805c9b90 55????????????? push??? ebp
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b91 esp=f7932d28 ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x3:
805c9b91 8bec??????????? mov???? ebp,esp
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b93 esp=f7932d28 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x5:
805c9b93 83ec0c????????? sub???? esp,0Ch ; 貌似是切換棧了~
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b96 esp=f7932d1c ebp=f7932d28 iopl=0???????? nv up ei ng nz ac po nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000292
nt!PspTerminateThreadByPointer+0x8:
805c9b96 834df8ff??????? or????? dword ptr [ebp-8],0FFFFFFFFh ss:0010:f7932d20=00000008
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9a esp=f7932d1c ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xc:
805c9b9a 56????????????? push??? esi
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9b esp=f7932d18 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xd:
805c9b9b 57????????????? push??? edi ; 注意這里 原來的esi在ebp+8處
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9c esp=f7932d14 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xe:
805c9b9c 8b7d08????????? mov???? edi,dword ptr [ebp+8] ss:0010:f7932d30=81308da8
;喃~他把原來esi的值傳給edi了
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=81308da8
eip=805c9b9f esp=f7932d14 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0x11:
805c9b9f 8db748020000??? lea???? esi,[edi+248h]
;wrk上有條語句如下
?if (Thread->CrossThreadFlags
??? & PS_CROSS_THREAD_FLAGS_BREAK_ON_TERMINATION)
然后根據這個 lea???? esi,[edi+248h] 命令看來 貌似edi指向的是個ETHREAD結構 應為
ETHREAD偏移248處就是這個CrossThreadFlags成員變量
kd> dt _ethread
ntdll!_ETHREAD
?? +0x000 Tcb????????????? : _KTHREAD
?? [...]
?? +0x248 CrossThreadFlags : Uint4B
?? [...]
那么就是說edi存放的是ethread的地址,上個命令
mov???? edi,dword ptr [ebp+8]就是把原esi的值傳給edi的
可見第一個參數是保存在esi中的?? 那我們來看看這個ethread的結構
現在edi中存放的是ethread的地址
kd> r esi
esi=81308da8

然后
kd> dt _ethread 81308da8
ntdll!_ETHREAD
?? +0x000 Tcb????????????? : _KTHREAD
?? [...]
?? +0x1d0 ExitStatus?????? : 0
?? [...]
?? +0x220 ThreadsProcess?? : 0x81299020 _EPROCESS
?? [...]
找到 ThreadsProcess? 它的值是 0x81299020 這個就是線程對應的進程結構地址
kd> dt _eprocess 0x81299020
ntdll!_EPROCESS
?? +0x000 Pcb????????????? : _KPROCESS
?? [...]
?? +0x174 ImageFileName??? : [16]? "INSTDRV.EXE"
?? [...]
看~"INSTDRV.EXE"是我們要結束的那個進程吧~呵呵
PspTerminateThreadByPointer的函數原型是這樣的
NTSTATUS
PspTerminateThreadByPointer(
??? IN PETHREAD Thread,
??? IN NTSTATUS ExitStatus,
??? IN BOOLEAN DirectTerminate
??? )
第一個參數就是要做掉的線程結構 要結束進程得把這個進程下所有線程掛掉 剛我們斷下PspTerminateThreadByPointer 拿第一個指向的結構一路跟蹤過來就找到了這個"INSTDRV.EXE" eprocess
神奇吧~HOHO~

到這里我一度很是奇怪,咋個參數傳遞不都是通過棧傳遞的嗎?
我發現PspTerminateThreadByPointer的函數調用好像是第一個參數在esi里面
第二個參數不知道是不是在edi里面 那么~~第三個參數在哪....

我好像之前有略過一篇文章說到這個windows堆棧傳遞忘了是那篇文章了...

一會要去T球了 暫時打住...
匯編好多指令不懂...先去修煉內功先...再好好研究這個函數吧 呵呵
???????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? __ay.字




posted on 2009-02-03 15:16 __ay 閱讀(2569) 評論(2)  編輯 收藏 引用 所屬分類: 操作系統&&內核

Feedback

# re: windbg學習筆記 FOR 內核調試(四) -- PspTerminateThreadByPointer 2009-02-04 09:31 zuhd

難道你是成電的?UESTC  回復  更多評論   

# re: windbg學習筆記 FOR 內核調試(四) -- PspTerminateThreadByPointer 2009-02-07 21:56 __ay

@zuhd
呵呵 是啊~你也是???  回復  更多評論   


青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品
  • <ins id="pjuwb"></ins>
    <blockquote id="pjuwb"><pre id="pjuwb"></pre></blockquote>
    <noscript id="pjuwb"></noscript>
          <sup id="pjuwb"><pre id="pjuwb"></pre></sup>
            <dd id="pjuwb"></dd>
            <abbr id="pjuwb"></abbr>
            亚洲一级片在线观看| 午夜精品久久久久| 久久综合999| 亚洲一区日本| 欧美一区二区福利在线| 亚洲免费视频网站| 欧美一级片久久久久久久 | 日韩午夜精品视频| 91久久久久久| 中文日韩欧美| 久久精品夜色噜噜亚洲a∨| 久久影院亚洲| 亚洲免费成人av| 亚洲欧美日本日韩| 麻豆成人在线| 国产精品久久久久av| 国产一二三精品| 亚洲黄网站黄| 欧美亚洲在线播放| 欧美国产日韩一区| 亚洲先锋成人| 免费永久网站黄欧美| 国产精品99一区| 在线看成人片| 午夜精品久久久久久久99樱桃 | 亚洲精品乱码久久久久久| 一本大道久久a久久精品综合 | 久久久久综合一区二区三区| 亚洲国产婷婷香蕉久久久久久| 亚洲精品在线看| 篠田优中文在线播放第一区| 欧美国产日韩一区二区| 国产三区精品| 亚洲免费伊人电影在线观看av| 欧美成人有码| 午夜精品久久久久影视| 久久精品国产精品| 欧美视频一区二区三区四区| 激情久久综艺| 欧美在线综合| 亚洲午夜免费视频| 欧美日本中文字幕| 亚洲欧洲一区二区三区在线观看| 欧美伊人久久久久久午夜久久久久| 国产一区在线视频| 亚洲欧洲一区二区在线观看| 欧美在线欧美在线| 夜夜嗨av一区二区三区四季av| 免费久久99精品国产自| 伊人激情综合| 久久久久久综合| 午夜精品久久久久久久久久久| 欧美午夜精品久久久久久超碰| 日韩小视频在线观看| 亚洲国产精品va| 欧美暴力喷水在线| 亚洲高清一区二区三区| 久久久久久亚洲综合影院红桃| 亚洲一区二区3| 国产精品激情偷乱一区二区∴| 一区二区三区四区精品| 亚洲三级免费| 欧美日韩国产a| 一区二区不卡在线视频 午夜欧美不卡在 | 日韩图片一区| 亚洲日本无吗高清不卡| 欧美国产日产韩国视频| 最新高清无码专区| 亚洲电影免费观看高清完整版在线| 久久亚洲精选| 亚洲人成网站999久久久综合| 亚洲国产综合在线看不卡| 欧美国产综合| 午夜精品美女自拍福到在线| 亚洲欧美日韩一区二区在线 | 亚洲免费影视第一页| 午夜视黄欧洲亚洲| 一区免费视频| 亚洲精品网址在线观看| 国产精品白丝jk黑袜喷水| 欧美诱惑福利视频| 久久精品视频免费播放| 午夜免费电影一区在线观看| 国产精品你懂得| 久久久久久久久综合| 免费亚洲一区| 午夜精品一区二区三区四区| 欧美在线日韩| 99国内精品久久| 亚洲欧洲av一区二区| 狠狠色丁香久久婷婷综合_中| 亚洲国产黄色| 久久亚洲精品欧美| 欧美一区成人| 亚洲欧洲一区二区三区在线观看| 欧美日本不卡高清| 久久精品国产久精国产一老狼| 免费观看一级特黄欧美大片| 亚洲欧美在线一区二区| 久久乐国产精品| 亚洲免费影视| 欧美精品福利| 免费不卡在线视频| 国产精品午夜视频| 亚洲国产精品久久人人爱蜜臀| 国产精品自在欧美一区| 亚洲缚视频在线观看| 国产亚洲综合精品| 亚洲视频在线看| 亚洲精品亚洲人成人网| 欧美尤物一区| 亚洲欧美大片| 欧美激情第9页| 免费日本视频一区| 国内精品久久久久影院色| 亚洲色图制服丝袜| 一区二区三区四区国产精品| 欧美在线国产精品| 香蕉国产精品偷在线观看不卡| 欧美理论电影网| 亚洲国产一区二区三区高清| 国语自产精品视频在线看一大j8| 99精品欧美一区| 99精品视频一区二区三区| 毛片一区二区三区| 老司机午夜精品视频| 国产亚洲精品久久飘花| 亚洲视频 欧洲视频| 一区二区三区欧美亚洲| 欧美顶级大胆免费视频| 欧美国产极速在线| 亚洲国产欧美不卡在线观看 | 国产精品综合不卡av| 99精品福利视频| 久久久久国产精品厨房| 欧美日韩免费精品| 亚洲精品日韩一| 亚洲精品之草原avav久久| 欧美二区在线播放| 中国亚洲黄色| 国产精品一区二区你懂的| 一区二区免费在线播放| 一区二区国产精品| 欧美三级电影网| 亚洲一区二区三区视频播放| 性欧美大战久久久久久久久| 国产伦精品一区二区三区高清| 欧美一级视频一区二区| 久久青草欧美一区二区三区| 影音欧美亚洲| 欧美黄色免费网站| 一本色道久久综合亚洲精品小说| 亚洲小视频在线观看| 国产片一区二区| 久久亚洲综合色| 日韩视频在线观看免费| 性xx色xx综合久久久xx| 韩国精品久久久999| 欧美www视频| 亚洲无亚洲人成网站77777| 欧美一级午夜免费电影| 国内自拍亚洲| 欧美日韩极品在线观看一区| 国产精自产拍久久久久久蜜| 欧美日韩天天操| 国产一区91| 在线一区观看| 麻豆精品传媒视频| 一区二区三区三区在线| 久久五月激情| 国产精品一区三区| 蜜桃av噜噜一区二区三区| 久久婷婷国产综合尤物精品| 欧美波霸影院| 一本色道久久综合狠狠躁篇的优点 | 亚洲视频在线观看网站| 久久久91精品国产| 亚洲欧洲日产国产网站| 国产精品久久久久影院色老大| 久久久99精品免费观看不卡| 99re66热这里只有精品3直播| 久久精品免费播放| 国产精品99久久久久久宅男| 国内揄拍国内精品少妇国语| 欧美日韩日日骚| 玖玖在线精品| 欧美亚洲一区在线| 亚洲免费电影在线观看| 久久综合色天天久久综合图片| 一区二区三区四区五区精品| 永久久久久久| 国产日韩在线一区| 国产精品日本欧美一区二区三区| 欧美.com| 午夜欧美理论片| 亚洲激情一区二区三区| 国产一区二区欧美| 国产精品毛片在线看| 欧美另类久久久品| 欧美成人精品在线|