Хочу встроить в тело исследуемой проги обработку
этого прерывания. Как переадресовать ее на мой код?
Нет ли у кого образца - желательно минимального размера?

| Сообщение посчитали полезным:

r99 пишет:
Хочу встроить в тело исследуемой проги обработку
этого прерывания. Как переадресовать ее на мой код?
а зачем тебе это ? вообще это сложно... переадресовать обработку прерывания можно вроде только патчем таблицы прерываний (IDT)

| Сообщение посчитали полезным:

Вооще это не сложно, но нужно нулевое кольцо чтобы писать в idt

| Сообщение посчитали полезным:

DrGolova пишет:
Вооще это не сложно
Это не сложно, сложно на нулевом кольце оказаться

| Сообщение посчитали полезным:

Здесь моя библиотека по встраиванию точек останова (как программных, так и аппаратных). Состоит из двух частей - драйвера и собственно кода, который надо засунуть в проект. Точки останова ставятся и убираются с помощью интерфейса int3 (хотя можно и через другое прерывание). Реализация - в файле intercept.cpp. Небольшой пример - sample.cpp.
При выполнении int3 (или исключении от hwbp) начинает выполняться new_int3() в драйвере (файл sys\intercept.cpp).
new_int1() не используется
Правда, эта старая версия драйвера, в ней не хватает некоторых доп. функций (disable_sw_all() и пр.), но если надо, то могу выслать полную (на работе ее у меня нет).
Комментариев практически нет , код не прилизан, но вроде все должно быть понятно.
П.Ы. Драйвер загружать вручную, например, с помощью installer.exe (прилагается)
П.Ы.Ы. Можно в нулевое кольцо и без драйверов выходить (через \\device\\physicalmemory). Исходники есть у Зомби (HaX0R'Z KiT).
П.Ы.Ы.Ы. Да, чтобы эта штука работала вместе с айсом, его нужно загружать ДО загрузки моего драйвера (кажется так, я уже не помню :s1. Тогда айс будет брякаться на свои бряки и игнорировать установленные с помощью этой библиотеки. При аппаратных бряках нужно помнить, что их всего 4

8aeb_hooks.rar

| Сообщение посчитали полезным:

KATEHOK
спасибо
кое-что взял с wasm-а

| Сообщение посчитали полезным:

Ошибка 404 - файл не найден
Перезалейте вложение. Спасибо!

| Сообщение посчитали полезным:

parovoZZ
Это некропост, зачем он вам. Там тс наверно тупо формирует свой дескриптор в IDT для #DB/#BP, для всех камней. Так как там обработка непосредственно на !IRQL(!IF), то изврат полнейший - никакой функционал ядра, исполняемый при IF не доступен. Тоесть из ядра почти ничего нельзя юзать. Нормально следует сформировать т-фрейм. Это не грамотная реализация(в придачу обвешена всякими механизмами понижения кпл, типо физиклмемори или нтсистемдебугконтрол), вам она не нужна.

| Сообщение посчитали полезным:

bowrouco
Помнится, мне когда-то нужна было норм реализация на С (с использованием WDK) перехвата KiTrap_03 в ядре, без NtSystemDebugControl и прочих недокументированных сервисов, и что? Нема! Тож тогда давали советы, что, типа, если тупо перехватить интересующий меня обработчик в IDT, то я не смогу ... (тут большой список всего, чего не смогу). Ну так покажите, как надо. Мы открыты для новых знаний.

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

ARCHANGEL
Вы товарищ не грамотный, ламер проще говоря. Вы даже не понимаете что такое т-фрейм, а значит не понимаете что есть задача и вообще протектед мод. Учите матчасть. А тупо выучить название векторов и скомпилить примитивный дров могут все.

| Сообщение посчитали полезным:

bowrouco пишет:
Вы товарищ не грамотный, ламер проще говоря
Ты это... поосторожнее с определениями
А то и бан схлопотать не долго...
ARCHANGEL-а я знаю по конкретным делам...
А ты кто?

-----
aLL rIGHTS rEVERSED!

| Сообщение посчитали полезным:

bowrouco
Вы товарищ не грамотный, ламер проще говоря... А тупо выучить название векторов и скомпилить примитивный дров могут все.

Может быть. Не хочется сейчас бросаться громкими словами, я прекрасно осознаю величину своего скила, до некоторых людей мне действительно весьма далеко. Но раз примитивный драйвер могут скомпилить все, а я всего лишь не понимаю, что такое TRAP_FRAME, значит мне не так много надо выучить из матчасти.

OnLyOnE
Thanks, бро. Но банить его не стоит, с ним веселее

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

OnLyOnE
Да это Clerk)) Человек знающий, но особо ни когда ничего не подсказывает

-----
Research For Food

| Сообщение посчитали полезным:

ARCHANGEL
Извините, это меня немного понесло, от рыбки..

Не думайте что я говном кидаюсь. Просто я не вижу смысла разбирать тут всякие разные проблемы с обработкой прерываний, так как для понимания нужно кое что знать. Да, нет нормального пути т-фрейм сформировать. Обычно я беру kimacro.inc и вставляю себе в проект, хорошо что он на масме. Эта структура к оси привязана, так что этот модуль только для отладки у себя на машине. В глобальном продукте я использую немного не стандартный подход - в буфер морфится всё макро. Морфится это не чтото страшное, а простой перенос инструкций в другое место и правка смещений в ветвлениях. Иного годного способа я не вижу, разве что модуль релоцировать, но это корявый способ.

| Сообщение посчитали полезным:

Остапа понесло...

| Сообщение посчитали полезным:

Ну перезалейте поджалуйста!

| Сообщение посчитали полезным:

А почему бы просто не добавить свой обработчик исключения в саму программу из ring 3? Или просто запустить программу из под собственного минимального WinAPI отладчика?

| Сообщение посчитали полезным:

Promix_17
Можно. Тольно интересна ring0 реализация.

| Сообщение посчитали полезным:

parovoZZ
Просто в вопросе этого не указано

| Сообщение посчитали полезным:

Promix_17
В каком вопросе? На даты посмотрите.
Негде не могу найти то что KATEHOK приаттачил.
r99
Жадинаскажет потерял

| Сообщение посчитали полезным:

Информации по хукам IDT много. А конкретную реализацию на примере перехватов INT 1 и INT 3 можно посмотреть тут http://www.codeproject.com/Articles/13677/Hooking-the-kernel-directly

| Сообщение посчитали полезным:

Последнему вопросу уже пол года, а топику 8 лет. Сомневаюсь, что за это время нельзя было сходить в гугл и поглядеть.

| Сообщение посчитали полезным: