摘要：
1.push parameter,%rdi，%rsi，%rdx，%rcx，%r8，%r9 用作函数参数，依次对应第1参数，第2参数。。。2. push return address3. push ebp,(current stack frame's base pointer)jump to the caller.4. push local variable.5. sub esp to pre-allocate stack resource instead of push later.其实stack frame上不止存放parameter->return address->e 阅读全文
posted @ 2013-10-12 13:50
一ke小小草
阅读(245)
评论(0)
推荐(0)
摘要：
IRP(I/O Request Packet),是由IO manager发起的对device的IO请求。当用户调用系统API,如createFile类似的函数,其实是会交给IO manager来做相应的处理。首先IO Manager知道这次IO请求，涉及到的设备栈(Device Stack)，每个Device都有相应的Driver。IO Manager然后会组一个IRP的结构，包括IRP头，以及紧随其后的IO_STACK_LOCATION结构体数组。相当于:typedef struct _IRP{ struct IRP_HEADER irpHeader; ... IO_STACK_LOCATI 阅读全文
posted @ 2013-10-12 13:49
一ke小小草
阅读(966)
评论(0)
推荐(0)
摘要：
Useful Tools:1. WDK安装目录下搜下depends.exe，这个工具可以查看.exe文件依赖的.dll,以及用到的dll中的api。2.PE文件格式分析器: 有很多的PE格式分析器,我随便试了两个，lordPE.exe,prjPEParserEx.exe都还不错，放我百度云盘了。 http://yun.baidu.com/share/link?shareid=2025240688&uk=7584582103.Visual Studio自带的的dumpbin工具 dumpbin /ALL xxx.exe >>xx.txtPE文件格式适用于.exe,.dll,. 阅读全文
posted @ 2013-10-12 13:49
一ke小小草
阅读(614)
评论(0)
推荐(0)
摘要：
三个Action Frame的IE会有带上RegClass的信息Listen Channel element, Channel List element, Operation Channel element.Negotiate Req/Conf 必须带Operation Channel element.Negotiate Resp可带可不带Operation Channel element.IF Go:Invitation Req/Resp 必须带Operation Channel element.If Client:Invitation Req/Resp 可带可不带Operation Cha 阅读全文
posted @ 2013-10-12 13:48
一ke小小草
阅读(543)
评论(0)
推荐(0)
摘要：
To be done. 阅读全文
posted @ 2013-10-12 13:47
一ke小小草
阅读(242)
评论(0)
推荐(0)
摘要：
fffff880`01b05be1 ff9708020000 call qword ptr [rdi+208h] ds:002b:fffff980`0554ae88=fffffa8004bd81a00: kd> rrax=0000000000000000 rbx=fffff880161485a8 rcx=fffffa8005a26490rdx=fffff9800bc3adf0 rsi=0000000000000001 rdi=fffff9800554ac80rip=fffff88001b05be1 rsp=fffff88016148520 rbp=fffff9800bc3adf0 r8= 阅读全文
posted @ 2013-10-12 13:47
一ke小小草
阅读(452)
评论(0)
推荐(0)
浙公网安备 33010602011771号