2012年3月26日
摘要：
这是很久前读ROS的一点笔记，最近没空搞这个，发上来备份~百度越来越渣了，总说我 “文章内容包含不合适内容” 不让贴！———— PDF版本 115提取码 dpfi6iya第七部分 一些相关应用一、枚举消息钩子二、遍历gditable/usertable查询隐藏进程三、窗口保护四、Hook KeUsermodeCallback防止全局钩子注入 可以过滤很多东西，比如防止注入。这里逆向了一... 阅读全文
摘要：
第五部分 视窗钩子一、ROS下的流程 Win2000版本有人分析过了http://bbs.pediy.com/showthread.php?t=135702 消息钩子是一种官方支持钩子回调，可以拦截某一个窗口或者全局的消息。消息本应直接发到对应窗口的wndproc，现在要先发送到我们设定的消息回调，由我们的hook函数进行参数的收取、截获、过滤~ HHOOKSetWindowsHook... 阅读全文
摘要：
第三部分 R0 to R3 这部分有教主非常精彩和实用的分析，我就不瞎说了。http://bbs.pediy.com/showthread.php?t=104918 r3 to r0 是常规系统调用倒过来中断或者sysenter的东西：http://hi.baidu.com/andriy_aolala/blog/item/0ce3ebbf137db11a18d81fac.html NT... 阅读全文
摘要：
一．应用层的apiint APIENTRY _tWinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPTSTR lpCmdLine,intnCmdShow){ WNDCLASSEXwcex; wcex.lpfnWndProc = ... 阅读全文
摘要：
很久以前看ROS的笔记，跟windows不一样的地方不少，最近没时间看这块了= = 先贴上来备份第一部分 图形线程的初始化综述一下—— 图形通信对象(user object)以线程为单位。这个线程是图形线程，调用表就是ssdt shadow，包含了图形系统调用，三环由user32提供，0环由win32k支持。 线程包含窗口，桌面，普通窗口，各种控件，都是窗口。窗口有一个wndproc，... 阅读全文