ntdll

-2熱度

1回答

免責聲明：的問題，下面的代碼中存在的唯一原因是在我的應用程序使用的外部元件，這是不能被取代，至少在不久的將來。該組件的邏輯截獲來自應用程序的WinAPI調用，並根據這些調用執行各種任務。組件所做的一件事是，它爲在應用程序內初始化的每個線程創建互斥鎖。但是，它不關閉互斥鎖，這會導致句柄泄漏。因此，爲了防止泄漏，並且因爲我無法訪問組件的源代碼，我不得不製造醜陋的變通方法並使用深奧的API。免責

1熱度

2回答

執行x86到x64彙編代碼開關

我在看如何NtDll適用於x86進程，我使用IDA PRO調試功能NtCreateFile。它的代碼如下： mov eax, 55h ; NtCreateFile mov edx, offset [email protected] ; call edx ; Wow64SystemServiceCall() ; retn 2Ch 而且Wow64SystemServiceCall()：

-2熱度

1回答

如何轉換爲NTSTATUS返回的正確代碼？

我想返回正確的代碼NTSTATUS（例如：0x00000107）在Showmessage()或類似的東西，但我只得到十進制數。這是怎麼回事？我最後一次嘗試： status := NtOpenFile(@hFile, FILE_GENERIC_READ, @oa, @iosb, FILE_SHARE_VALID_FLAGS, FILE_SYNCHRONOUS_IO_NONALERT)

0熱度

1回答

在用戶模式下調用本地（Nt）API

我試圖在用戶模式下調用本機API（NtOpenKey）。我看到鏈接器問題。我很困惑，這裏缺少什麼。我怎樣才能做到這一點？我在這裏附上我的代碼。 ntdll.lib被添加到項目中（鏈接）錯誤58錯誤LNK2001：無法解析的外部符號「__declspec（dllimport的）長__cdecl NtOpenKey（void *的*，無符號長，結構_OBJECT_ATTRIBUTES *）」（__

3熱度

1回答

Win32應用程序是否自動鏈接到ntdll.dll？

我剛剛偶然發現這樣做GetModuleHandle("ntdll.dll")沒有以前撥打LoadLibrary("ntdll.dll")工作。這意味着ntdll.dll已加載到我的過程中。可以安全地假設ntdll.dll將永遠在Win32應用程序中加載，因此不需要撥打LoadLibrary？

-2熱度

1回答

試圖抓取，複製和保護與NTDLL的句柄

所以我試圖基本上循環低谷的進程，找到我的進程（工程）的進程ID，然後打開一個進程與該PID（這也適用）和然後用NtDuplicateObject複製它並用NtSetInformationObject保護它。問題是總會有些問題。第一次嘗試時，它不想複製它，直到現在快進了，然後在註釋掉我試圖關閉舊句柄的部分（我不能這樣做，NtDuplicateObject也不應該這樣做）給我一個句柄，但我不能用它來

1熱度

2回答

有沒有辦法讓Windows 7 x64從本地目錄加載ntdll.dll，而不是system32？

我正在處理一個應用程序，該應用程序保存自定義進程的狀態，然後從停止點處恢復它。現在有以下問題。系統重新引導時，系統模塊的所有基址都是隨機分配的（ntdll.dll,kernelbase.dll，kernel32.dll等）。操作系統是Windows 7 x64企業版。在重新啓動後嘗試恢復應用程序時，它顯然崩潰（但在重新啓動之前從恢復點正常工作）。我看到2個解決方案，以這樣的：使系統模塊的靜態地

0熱度

1回答

枚舉句柄名稱問題

我找到了枚舉其他程序句柄的方法，但現在我遇到了問題。我看不到Process類型的線程。我需要檢查哪些程序打開了我的進程句柄。當我檢查輸出，它是「未命名」，我不知道如何解決它。我應該通過dirver來做到這一點嗎？或者沒有驅動程序的其他方式來做到這一點？ pid = _wtoi(argv[1]); if (!(processHandle = OpenProcess(PROCESS_DUP_H

-1熱度

1回答

除了可用於監視Windows系統上Native/SSDT API調用的「掛鉤」之外，還有其他方法嗎？

我被有很多經驗的人告知，至少有一種替代方式來監視Windows操作系統調用，例如，創建類似於過程監視器的功能或開發反病毒掃描程序，而不是「掛鉤」，並且這種替代方法比掛鉤效率更高。但是，我不確定在開發過濾器驅動程序來執行此任務的上下文中有哪些替代方法。

-1熱度

1回答

C++ SysCall asm未解決的外部問題

我想通過系統調用在asm中調用NtReadVirtualMemory。我出於幾個不同的原因這樣做，但這不重要。所以我定義我的主頭文件，像這樣的功能： extern "C" NTSTATUS SysWPM(HANDLE ProcessHandle, PVOID BaseAddress, PVOID Buffer, ULONG NumberOfBytesToWrite, PULONG NumberO