Всем привет, сейчас немного изучаю системные вызовы в Windows и появилось несколько вопросов
1) Индексы syscall отличаются в разных ос, однако не совсем понятно по способу вызова,
они разные на x32, x64 и wow64, но отличаются ли они в разных версиях винды и
можно ли где-нибудь скачать дллки от разных версий?
2) Какие есть способы перехвата системных вызовов из юзермода при условии,
что системный вызов заинлайнен и неизвестно где он производится?
Я слышала что вроде можно через NtQuerySystemInformation, но до конца не знаю.

-----
В облачке многоточия

| Сообщение посчитали полезным:

Не знаю, как по мне так это жесть, этот нирвана хук очень многое портит
Причем он есть даже на win7, но только на x64 (а на wow64 нет, хотя неясно почему?)
А на win10 так вообще действует везде и даже отладчик не надо подключать, так еще и не снять его потом, кто поставил тот и управляет всем, хотя возможно спамить InstrumentationCallbackDisabled
Они там совсем отбитые T_T

-----
В облачке многоточия

| Сообщение посчитали полезным:

Boostyq

Обычный ошибочный подход к задаче - поиск не общего решения, а любого частного. Это всегда дичайшие извраты, кучи андок костылей и прочий изврат. Такое имеет смысл лишь в целях зла, это всё способы скрыть активность, так же и в вашем случае - скрытая сервисная фильтрация, добро пожаловать на путь зла

Общий метод есть лишь один в нескольких вариациях. Это исполнение всего кода под слоем визора, он может быть железячным или софтверным. В таком виде происходит не только сервисная фильтрация, но доступны абсолютно любые события в приложении, без его модификации и существенной потери профайла. При продуманной реализации это работает как часы", а тайминг близок к реалтайму, точнее не отдельные циклы, а общие задержки становятся незаметны.

-----
vx

| Сообщение посчитали полезным:

difexacaw
Любую задачу можно решить конкретно или универсально, но не каждая задача заслуживает универсального решения.
А я на данный момент не имею возможности писать универсальные решения для каждой мелочи, и так очень часто захожу дальше, чем требуется.
Кроме этого, я не представляю, чем по вашему я занимаюсь, какой еще путь зла?

-----
В облачке многоточия

| Сообщение посчитали полезным:

Boostyq

А для чего вам выполнять скрытую фильтрацию ?

Активность скрывается от AV, иначе это не нужно и не нужны все эти извраты, достаточно обычного патча.

Любая из техник, которая использует какое то сокрытие реализуется малварщиками для обхода ав детектов. Если бы авер ничего не детектил, то такой нужды бы и небыло.

Но чем более наворочен ав детектор, тем более сложные методы приходится использовать для ухода от детекта.

То что вы прикидываетесь ньюби и одновременно спрашиваете про альтернативные методы сокрытия говорит лишь об обмане - вам нужны технологии, а делать вид девочки это штатный псих способ в сети на хак ресурсах добыть инфу.

Добавлено спустя 4 минуты
> дайте метод скрытой фильтрации.
> какой еще путь зла?

Такое редко можно встретить

-----
vx

| Сообщение посчитали полезным: shellstorm, plutos

difexacaw
Теперь малвари, карьерный рост просто какой-то
Ага, зашла секретную инфу про системные вызовы на exelab разузнать, и вот блин, difexacaw тут как тут
А если серьезно - вы прекращайте свои пилюли кушать, не спрашивала я про никакую скрытую фильтрацию, и даже не знаю что это, как и неделю до этого не имела понятия что такое вообще системные вызовы
И раз так, то давайте посчитаем всю информацию, которую вы мне сообщили? А стоп, складывать то нечего, а если вычесть время которое я сейчас трачу на бесполезный скандал, еще и минус получится.
Вы настолько ядовитый человек, что способны поссорится абсолютно с любым человеком, это просто невозможно.
Эх, половину удалила, на этом все

-----
В облачке многоточия

| Сообщение посчитали полезным:

Boostyq

> не спрашивала я про никакую скрытую фильтрацию

Именно про это вы и спрашиваете. Вас таких на каждом хак ресурсе 1/3.

А учитывая:

> давайте посчитаем всю информацию, которую вы мне сообщили?

Инфы я сообщил достаточно. Конечно же вам не это нужно, а готовый POC по сокрытию, аналогично как у Ионеску.

Вы таким разводом более десятка лет нас разводите. Так что не нужно оправданий, всё и так понятно.

-----
vx

| Сообщение посчитали полезным:

difexacaw
Послушайте, мне очень жаль, что вас кто-то обманул, но я здесь не причем
Меня тоже обманывали на этом форуме, и я здесь всего несколько лет, никак не десять
Мне не нужны ваши сокрытия, все что я хотела уже реализовала
Всем спасибо, тему можно закрыть

-----
В облачке многоточия

| Сообщение посчитали полезным:

Я думал правила форума не запрещают малварью заниматься, просто обсуждать нельзя по понятным причинам. В чем развод, не въехал даже. Помню на торч точка ру такую портянку правил изобрели, чтоб ни один юрист не докопался, что речь идет об изготовлении наркоты.

-----
2 оттенка серого

| Сообщение посчитали полезным:

difexacaw пишет:
а делать вид девочки это штатный псих способ в сети на хак ресурсах добыть инфу.

Меня тоже терзают смутные сомнения:
может это сама Кристина Сифуэнтес (Cristina Cifuentes: Geek of the Week)?
Тогда ее как-то представляешь читающей Intel© Manuals субботними вечерами, а иначе - ну никак.

No hard feelings?

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

Ого, хак инфа в опасности.

plutos пишет:
Тогда ее как-то представляешь читающей Intel Manuals субботними вечерами, а иначе - ну никак.
Все мы тут немного фрики. Некоторые много фрики. Кто читает пиратскую донцову субботними вечерами, наверное другие ресурсы посещает.

ЗЫ: ну и наконец, там где-то в корзинном разделе тема про виртуалки и программы, которым не доверяют, однако шерлоки холмсы с загадочнымми буквами ВыХа (видимо закодированное "я с вас смеюсь") в подписи точно знают, что системные вызовы стелсят только антивирусники и иногда вирусники. К кому отнести руссиновича?

-----
2 оттенка серого

| Сообщение посчитали полезным:

plutos пишет:
Меня тоже терзают смутные сомнения:
если не в одной обойме, зачем себя плющить гендером?
ну хочет быть девкой, пусть будет, по крайней мере это уже выбор.
вот чувак с паранойе, давно видно что девка дешёвая, но ведь отказывается, а это уже проблема личности..

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет: ну хочет быть девкой, пусть будет

одна бородатая девка уже выступала не евровидение, после нее уже не удивит другая бородатая девка, даже если ксорит дворды в уме.

| Сообщение посчитали полезным:

shellstorm пишет:
одна бородатая девка уже выступала не евровидение
Технически это евнух, у девок две Х-хромосомы, их пока обрезать не научились.

-----
2 оттенка серого

| Сообщение посчитали полезным:

да я и не сомневаюсь, что это девушка, один ник чего стоит: Бюстик...
А с этим уже не поспоришь! Это уже верный proof, как говорили до исторического материализма.
Я наоборот, восхищаюсь!
PS
Ох, потрут все наши высеры...

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

difexacaw пишет:
Boostyq

А для чего вам выполнять скрытую фильтрацию ?
читы от античитов хайдить.

-----
Array[Login..Logout] of Life

| Сообщение посчитали полезным: 4kusNick

Boostyq
Автор сам может закрыть свою тему, кнопка "Закрыть тему" находится внизу страницы, под кнопкой "Отправить сообщение".

| Сообщение посчитали полезным: Boostyq