ntdll.dll - точка входа после r0

ntdll.dll - точка входа после r0

13.09.2009, 06:04

Hiro Protagonist

Участник форума

Регистрация: 26.08.2009

Сообщений: 133

С нами: 8795069

Репутация: 79

ntdll.dll - точка входа после r0

По той причине, что не владею ядерными отладчиками, просьба - у кого он есть - посмотреть куда передается управление в ntdll.dll из r0 при создании процесса.

//----

Чето я протупил немного ... неудивительно после ночи :/
Надо было сразу к Руссиновичу обратится. Он говорит, что это функция LdrInitializeThunk ...

𝕏 Twitter Reddit Telegram Копировать ссылку

Последний раз редактировалось Hiro Protagonist; 13.09.2009 в 07:25..

13.09.2009, 18:15

slesh

Познавший АНТИЧАТ

Регистрация: 05.03.2007

Сообщений: 1,985

С нами: 10097606

Репутация: 3349

Смотря какая ОС.
после всякой херни и подгрузки всех секций идет банальный вызов системного сервиса через sysenter. Там выполняются функции:
NtCreateProcess - Win 2k
NtCreateProcessEx - Win XP and Win 2k3
Ну и там идет попутное уведомление csrss о создавшемся процессе

Вообще ntdll находится в r3 и через sysenter управление передается в r0 (в ntoskrnl.exe или ему подобный)

Последний раз редактировалось slesh; 13.09.2009 в 18:17..

13.09.2009, 20:10

Hiro Protagonist

Участник форума

Регистрация: 26.08.2009

Сообщений: 133

С нами: 8795069

Репутация: 79

2slesh
Ты немного не так понял. Я про настройку имэджа нового процесса и подгрузку его длл ) уже в третьем кольце, в АП нового процесса. Судя по коду LdrInitializeThunk Руссинович прав (ктобы сомневался).

Внести депозит

Депозит создан

Вывести депозит