青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品

Ay's Blog@CNSSUESTC

windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer

????? 近日事情頗多 喝茶拉 吃好吃的還有看電影啊~磨去不少時(shí)間,甚歡.難得放假回家 一直被拉出去也沒(méi)看什么東西 前段時(shí)間剛跟鼠仙討論了下 我跑去看了下進(jìn)程保護(hù)的一些東東,但是膚淺的很 就研究了下WRK的一些代碼 發(fā)現(xiàn)關(guān)閉進(jìn)程都跟這個(gè)PspTerminateThreadByPointer函數(shù)有關(guān),NtProcess的代碼很簡(jiǎn)單,就是得到進(jìn)程的EPROCESS 然后遍歷它的線程鏈表 接著就一個(gè)個(gè)用 PspTerminateThreadByPointer 函數(shù)掛掉就OK? 也就是說(shuō)想要保護(hù)進(jìn)程 掛鉤個(gè) PspTerminateThreadByPointer 效果還是很理想的??? 反正拿這個(gè)去實(shí)現(xiàn)R3下進(jìn)程保護(hù)應(yīng)該綽綽有余了
為了練習(xí)下windbg的使用 準(zhǔn)備隨便跟下我們的
PspTerminateThreadByPointer 函數(shù) 冰刃剛下速度太慢了 我就用任務(wù)管理器試驗(yàn)的 呵呵

首先開(kāi)虛擬機(jī),然后一陣啰嗦的操作后進(jìn)入正題

先給我們的函數(shù)下個(gè)斷
kd> bp nt!PspTerminateThreadByPointer

我們bl看看
kd> bl
?0 e 805c9b8e???? 0001 (0001) nt!PspTerminateThreadByPointer

OK 成功了 然后打開(kāi)任務(wù)管理器 在隨便打開(kāi)個(gè)程序? INSTDRV.exe? (平時(shí)加載驅(qū)動(dòng)用的,呵呵)

然后拿任務(wù)管理器做掉這個(gè)進(jìn)程 HOHO~~

Breakpoint 0 hit
nt!PspTerminateThreadByPointer:
805c9b8e 8bff??????????? mov???? edi,edi

斷下來(lái)了? 匯編顯示的是這個(gè)函數(shù)的第一條語(yǔ)句 不過(guò)這個(gè)命令無(wú)任何意義

拿k指令看看函數(shù)堆棧

kd> k
ChildEBP RetAddr?
f7932d28 805c9d8b nt!PspTerminateThreadByPointer
f7932d54 8053e648 nt!NtTerminateProcess+0xd5
f7932d54 7c92e4f4 nt!KiFastCallEntry+0xf8
0007f73c 7c92de5c ntdll!KiFastSystemCallRet
0007f740 7c801e3a ntdll!ZwTerminateProcess+0xc

喃~函數(shù)堆棧是個(gè)好東西? 呵呵? 那么我們結(jié)束進(jìn)程的過(guò)程就清楚了 由于后面的函數(shù)堆棧沒(méi)法顯示 不知道為什么 反正差不多的調(diào)用流程就是這樣
ZwTerminateProcess- NtTerminateProcess - PspTerminateThreadByPointer 中間那2個(gè)函數(shù)干嘛用的我就不太清楚了?? 反了下 ZwTerminateProcess
kd> uf nt!zwterminateprocess
nt!ZwTerminateProcess:
805001bc b801010000????? mov???? eax,101h
805001c1 8d542404??????? lea???? edx,[esp+4]
805001c5 9c????????????? pushfd
805001c6 6a08??????????? push??? 8
805001c8 e8c4e20300????? call??? nt!KiSystemService (8053e491)
805001cd c20800????????? ret???? 8


nt!KiSystemService這個(gè)函數(shù)好像是跟SSDT有關(guān) 估計(jì)就是跑去找NtProcess的地址的吧 那么中間那2個(gè)函數(shù)可以自己意淫一下應(yīng)該就是 進(jìn)行用戶態(tài)和內(nèi)核態(tài)之間的切換了~
不知道是不是這樣的? 希望哪位大牛可以解答下小弟的推測(cè)正確與否~ 在此謝過(guò)~!

然后單步調(diào)試開(kāi)始了 嘿嘿 為了方便看 我重新斷了次(之前拿r指令開(kāi)了顯示寄存器信息開(kāi)關(guān)了 呵呵)
Breakpoint 0 hit
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b8e esp=f7932d2c ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer:
805c9b8e 8bff??????????? mov???? edi,edi
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b90 esp=f7932d2c ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x2:
805c9b90 55????????????? push??? ebp
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b91 esp=f7932d28 ebp=f7932d54 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x3:
805c9b91 8bec??????????? mov???? ebp,esp
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b93 esp=f7932d28 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe cy
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000287
nt!PspTerminateThreadByPointer+0x5:
805c9b93 83ec0c????????? sub???? esp,0Ch ; 貌似是切換棧了~
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b96 esp=f7932d1c ebp=f7932d28 iopl=0???????? nv up ei ng nz ac po nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000292
nt!PspTerminateThreadByPointer+0x8:
805c9b96 834df8ff??????? or????? dword ptr [ebp-8],0FFFFFFFFh ss:0010:f7932d20=00000008
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9a esp=f7932d1c ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xc:
805c9b9a 56????????????? push??? esi
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9b esp=f7932d18 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xd:
805c9b9b 57????????????? push??? edi ; 注意這里 原來(lái)的esi在ebp+8處
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=8130dda8
eip=805c9b9c esp=f7932d14 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0xe:
805c9b9c 8b7d08????????? mov???? edi,dword ptr [ebp+8] ss:0010:f7932d30=81308da8
;喃~他把原來(lái)esi的值傳給edi了
kd> t
eax=81308da8 ebx=81299020 ecx=00000000 edx=00000000 esi=81308da8 edi=81308da8
eip=805c9b9f esp=f7932d14 ebp=f7932d28 iopl=0???????? nv up ei ng nz na pe nc
cs=0008? ss=0010? ds=0023? es=0023? fs=0030? gs=0000???????????? efl=00000286
nt!PspTerminateThreadByPointer+0x11:
805c9b9f 8db748020000??? lea???? esi,[edi+248h]
;wrk上有條語(yǔ)句如下
?if (Thread->CrossThreadFlags
??? & PS_CROSS_THREAD_FLAGS_BREAK_ON_TERMINATION)
然后根據(jù)這個(gè) lea???? esi,[edi+248h] 命令看來(lái) 貌似edi指向的是個(gè)ETHREAD結(jié)構(gòu) 應(yīng)為
ETHREAD偏移248處就是這個(gè)CrossThreadFlags成員變量
kd> dt _ethread
ntdll!_ETHREAD
?? +0x000 Tcb????????????? : _KTHREAD
?? [...]
?? +0x248 CrossThreadFlags : Uint4B
?? [...]
那么就是說(shuō)edi存放的是ethread的地址,上個(gè)命令
mov???? edi,dword ptr [ebp+8]就是把原esi的值傳給edi的
可見(jiàn)第一個(gè)參數(shù)是保存在esi中的?? 那我們來(lái)看看這個(gè)ethread的結(jié)構(gòu)
現(xiàn)在edi中存放的是ethread的地址
kd> r esi
esi=81308da8

然后
kd> dt _ethread 81308da8
ntdll!_ETHREAD
?? +0x000 Tcb????????????? : _KTHREAD
?? [...]
?? +0x1d0 ExitStatus?????? : 0
?? [...]
?? +0x220 ThreadsProcess?? : 0x81299020 _EPROCESS
?? [...]
找到 ThreadsProcess? 它的值是 0x81299020 這個(gè)就是線程對(duì)應(yīng)的進(jìn)程結(jié)構(gòu)地址
kd> dt _eprocess 0x81299020
ntdll!_EPROCESS
?? +0x000 Pcb????????????? : _KPROCESS
?? [...]
?? +0x174 ImageFileName??? : [16]? "INSTDRV.EXE"
?? [...]
看~"INSTDRV.EXE"是我們要結(jié)束的那個(gè)進(jìn)程吧~呵呵
PspTerminateThreadByPointer的函數(shù)原型是這樣的
NTSTATUS
PspTerminateThreadByPointer(
??? IN PETHREAD Thread,
??? IN NTSTATUS ExitStatus,
??? IN BOOLEAN DirectTerminate
??? )
第一個(gè)參數(shù)就是要做掉的線程結(jié)構(gòu) 要結(jié)束進(jìn)程得把這個(gè)進(jìn)程下所有線程掛掉 剛我們斷下PspTerminateThreadByPointer 拿第一個(gè)指向的結(jié)構(gòu)一路跟蹤過(guò)來(lái)就找到了這個(gè)"INSTDRV.EXE" eprocess
神奇吧~HOHO~

到這里我一度很是奇怪,咋個(gè)參數(shù)傳遞不都是通過(guò)棧傳遞的嗎?
我發(fā)現(xiàn)PspTerminateThreadByPointer的函數(shù)調(diào)用好像是第一個(gè)參數(shù)在esi里面
第二個(gè)參數(shù)不知道是不是在edi里面 那么~~第三個(gè)參數(shù)在哪....

我好像之前有略過(guò)一篇文章說(shuō)到這個(gè)windows堆棧傳遞忘了是那篇文章了...

一會(huì)要去T球了 暫時(shí)打住...
匯編好多指令不懂...先去修煉內(nèi)功先...再好好研究這個(gè)函數(shù)吧 呵呵
???????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? __ay.字




posted on 2009-02-03 15:16 __ay 閱讀(2569) 評(píng)論(2)  編輯 收藏 引用 所屬分類(lèi): 操作系統(tǒng)&&內(nèi)核

Feedback

# re: windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer 2009-02-04 09:31 zuhd

難道你是成電的?UESTC  回復(fù)  更多評(píng)論   

# re: windbg學(xué)習(xí)筆記 FOR 內(nèi)核調(diào)試(四) -- PspTerminateThreadByPointer 2009-02-07 21:56 __ay

@zuhd
呵呵 是啊~你也是???  回復(fù)  更多評(píng)論   


青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品
  • <ins id="pjuwb"></ins>
    <blockquote id="pjuwb"><pre id="pjuwb"></pre></blockquote>
    <noscript id="pjuwb"></noscript>
          <sup id="pjuwb"><pre id="pjuwb"></pre></sup>
            <dd id="pjuwb"></dd>
            <abbr id="pjuwb"></abbr>
            亚洲精品乱码久久久久久日本蜜臀 | 国产在线精品一区二区中文| 亚洲乱码精品一二三四区日韩在线| 久久综合九色欧美综合狠狠| 羞羞色国产精品| 欧美日韩国产123| 夜夜嗨av一区二区三区| 91久久国产综合久久| 久久夜精品va视频免费观看| 有码中文亚洲精品| 免费视频久久| 久久久国产精品亚洲一区 | 亚洲国产国产亚洲一二三| 女仆av观看一区| 久久精品视频亚洲| 亚洲精品小视频在线观看| 亚洲剧情一区二区| 欧美人与性动交α欧美精品济南到 | 夜夜嗨av一区二区三区| 欧美日韩视频在线第一区| 亚洲小视频在线观看| 日韩午夜视频在线观看| 国产麻豆9l精品三级站| 久久综合伊人| 欧美激情亚洲精品| 午夜精品久久久久久久白皮肤| 亚洲性视频网站| 一区二区在线观看视频| 亚洲激情成人| 国产亚洲精品自拍| 鲁鲁狠狠狠7777一区二区| 欧美va亚洲va国产综合| 性欧美videos另类喷潮| 午夜亚洲影视| 亚洲第一精品影视| 日韩一级二级三级| 激情自拍一区| 亚洲人久久久| 激情综合网激情| 亚洲人成毛片在线播放| 国产精品主播| 欧美激情女人20p| 国产精品久久77777| 麻豆国产精品777777在线| 欧美裸体一区二区三区| 久久久五月天| 国产精品视频免费一区| 美女视频一区免费观看| 国产精品免费看| 亚洲午夜激情网页| 久久精品国内一区二区三区| 久久综合导航| 久久夜色精品| 欧美日韩亚洲一区三区| 久久综合婷婷| 国产欧美三级| 亚洲美女少妇无套啪啪呻吟| 国产一级久久| 亚洲一区二区三区高清| 日韩天天综合| 欧美一区三区三区高中清蜜桃| 亚洲精品一区二区三区蜜桃久| 99在线观看免费视频精品观看| 在线观看亚洲视频| 中文欧美日韩| 亚洲精品一品区二品区三品区| 午夜精品久久久久久久久| 日韩视频永久免费| 免费观看30秒视频久久| 久久国产精品99久久久久久老狼| 久久精品国产精品亚洲精品| 亚洲视频免费在线观看| 欧美日韩国产小视频| 欧美激情亚洲视频| 亚洲肉体裸体xxxx137| 欧美大片一区二区| 亚洲国产日韩在线| 日韩视频一区| 欧美日韩免费在线视频| 亚洲毛片在线看| 亚洲一区二区三区在线| 欧美在线你懂的| 久久夜色精品国产欧美乱| 韩国美女久久| 美女视频黄免费的久久| 亚洲欧洲三级| 在线中文字幕日韩| 国产精品日韩欧美综合| 亚洲欧美中文日韩v在线观看| 久久精品欧美| 亚洲黄色成人久久久| 欧美另类高清视频在线| 亚洲视屏在线播放| 久久久国产精彩视频美女艺术照福利 | 欧美成人在线影院| 日韩视频精品在线| 欧美日本精品在线| 亚洲午夜羞羞片| 香蕉久久国产| 一区二区三区中文在线观看| 欧美福利精品| 亚洲一区在线免费| 久久国产精品久久久| 在线观看视频亚洲| 亚洲欧洲av一区二区| 久久精品夜色噜噜亚洲a∨| 国产免费成人av| 麻豆成人在线| 亚洲欧美日韩综合| 久久只有精品| 亚洲视频免费在线观看| 狠狠入ady亚洲精品经典电影| 欧美成人一区二区三区在线观看 | 久久综合综合久久综合| 日韩写真在线| 久久综合99re88久久爱| 欧美一区二区精品久久911| 国语自产精品视频在线看抢先版结局| 免费成人黄色片| 亚洲欧美日韩国产一区| 欧美激情欧美狂野欧美精品| 亚洲欧美日本另类| 亚洲人体一区| 国产精品亚洲综合色区韩国| 美日韩精品免费观看视频| 亚洲女性裸体视频| 亚洲国产精品久久久久秋霞蜜臀| 亚洲欧美日本日韩| 亚洲二区在线视频| 国产麻豆一精品一av一免费| 欧美国产日韩精品| 欧美一区=区| 91久久久亚洲精品| 久久久久久999| 亚洲午夜在线视频| 亚洲国产片色| 国产欧美日韩综合| 欧美喷潮久久久xxxxx| 久久亚洲精品一区二区| 亚洲欧美一区二区激情| 日韩午夜av电影| 亚洲国产成人在线播放| 久久精品视频播放| 亚洲性感美女99在线| 亚洲精品国精品久久99热一| 一区二区在线不卡| 国产亚洲亚洲| 国产精品久久久久7777婷婷| 欧美国产日韩一区二区在线观看| 久久成人在线| 午夜久久久久久久久久一区二区| 亚洲乱码久久| 亚洲国产精品专区久久| 久久婷婷av| 久久精品一区中文字幕| 午夜亚洲影视| 亚洲免费在线播放| 日韩亚洲欧美成人一区| 激情综合自拍| 国产日韩欧美三级| 国产精品色网| 欧美性猛交一区二区三区精品| 欧美激情欧美激情在线五月| 你懂的一区二区| 久久久爽爽爽美女图片| 香蕉久久夜色精品国产使用方法| 一区二区三区四区蜜桃| 一区二区国产日产| 99精品免费网| 亚洲一区在线播放| 亚洲欧美日韩系列| 久久狠狠婷婷| 久久香蕉国产线看观看av| 美女主播一区| 欧美精品 日韩| 欧美日韩精品在线观看| 欧美亚州一区二区三区| 国产精品视频九色porn| 国产亚洲欧美另类中文| 黑人巨大精品欧美一区二区 | 国产精品久久看| 国产精品入口日韩视频大尺度 | 久久婷婷亚洲| 久久精品在线播放| 久久久久久久久岛国免费| 久久久久久久高潮| 欧美不卡在线视频| 欧美三级电影大全| 久久夜色精品国产欧美乱| 亚洲激情小视频| 久久夜色精品| 久久久久久综合| 欧美视频网站| 欧美性片在线观看| 欧美日韩中文字幕综合视频| 欧美国产日本| 欧美区视频在线观看| 欧美视频一区二区| 欧美午夜精彩| 国产精品永久免费视频|