Вот из справочника (инструкции mmx):

SYSENTER
-------------
0F 34 SYSENTER Fast call to privilege level 0 system procedures

SYSEXIT
-------------
0F 35 SYSEXIT Fast return to privilege level 3 user code.

Че правда можно выйти в ring0 с помощью одной этой команды ???

| Сообщение посчитали полезным:

хорошая утилита, только я так и непонял чем она мне поможет
чтобы понять где идет перехват после sysenter
результат в атаче.

если несложно то помоги , я уже 1.5 месяца ваюю с nprotect всеми доступными способами.
всегото требуется приручить SendInput при запущенном nprotect.


156c_29.08.2006_CRACKLAB.rU.tgz - nprotect.txt

| Сообщение посчитали полезным:

вот без nprotect(атачь)

вся проблема в том что как только стартует nprotect
он чтото блокирует после SysEnter, да так что SendInput ( и использующие его mouse_event и keybd_event ) перестает работать.

a0d4_29.08.2006_CRACKLAB.rU.tgz - no_nprotect.txt

| Сообщение посчитали полезным:

HOMEZ

Начиная с этого места:
ntdll.dll (7c900000 - 7c9b1000)... innocent hooking (verdict = 2).
module ntdll.dll [0x7c900000 - 0x7c9b1000]:
0x7c90dd7b (section .text) [NtOpenProcess()+0] 5 byte(s):
JMPing code (jmp to: 0x458a7efb)
address 0x458a7efb is inside npggNT.des module [0x458a0000-0x458c9000]
target module path: C:\Program Files\Silkroad\GameGuard\npggNT.des
file :b8 7a 00 00 00
memory :e9 80 a1 f9 c8
verdict = 2

0x7c90deb6 (section .text) [NtProtectVirtualMemory()+0] 5 byte(s):
JMPing code (jmp to: 0x458a7d3b)
address 0x458a7d3b is inside npggNT.des module [0x458a0000-0x458c9000]
target module path: C:\Program Files\Silkroad\GameGuard\npggNT.des
file :b8 89 00 00 00
memory :e9 85 9e f9 c8
verdict = 2

0x7c90e1aa (section .text) [NtQuerySystemInformation()+0] 5 byte(s):
JMPing code (jmp to: 0x458aa33b)
address 0x458aa33b is inside npggNT.des module [0x458a0000-0x458c9000]
target module path: C:\Program Files\Silkroad\GameGuard\npggNT.des
file :b8 ad 00 00 00
memory :e9 91 c1 f9 c8
verdict = 2
и далее - то что тебе надо ИМХО.

Вот это:

IDT[6] points to 0xb5c8116d which is inside Haspnt.sys module [0xb5c7e000-0xb5c8a000]
target module path: \??\C:\WINDOWS\system32\drivers\Haspnt.sys
verdict = 5
UNFIXABLE!

IDT[14] points to 0xb5c80fc2 which is inside Haspnt.sys module [0xb5c7e000-0xb5c8a000]
target module path: \??\C:\WINDOWS\system32\drivers\Haspnt.sys
verdict = 5
UNFIXABLE!
похоже драйвер хаспа захукал.
А вот такое:
0x804e2afc [KiServiceTable[277]] 4 byte(s):
KiServiceTable HOOK:
address 0xb021db4c DOES NOT belong to ANY MODULE!
file :e0 e5 57 80
memory :4c db 21 b0
verdict = 5

0x804f1743 (section .text) [KeStackAttachProcess()+0] 5 byte(s):
JMPing code (jmp to: 0xb021e6cd)
address 0xb021e6cd DOES NOT belong to ANY MODULE!
file :8b ff 55 8b ec
memory :e9 8a cf d2 2f
verdict = 5
стоит рассмотреть более детально (может быть что угодно, вплоть до какого-нить не очень крутого засранчега в ринг0). Я хз как без отладчика ринг-0 тут обойтись, разве что какой-то утилитой дампить эти участки памяти и смотеть что там, но это очень не удобно...
Если тебе надо снести хуки, тебе надо запустить svv fix /t1. Это снесет все хуки с вердиктом больше 1. Если кто-то контролирует наличие хуков - это может не помочь. Чтобы убедиться в этом - запусти потом еще раз проверку. Перед всем этим сохрани все, что открыто, потому как можно уронить систему в BSOD.

-----
Research is my purpose

| Сообщение посчитали полезным:

HOMEZ пишет:
если несложно то помоги , я уже 1.5 месяца ваюю с nprotect всеми доступными способами.
всегото требуется приручить SendInput при запущенном nprotect.
Что-то получилось?

| Сообщение посчитали полезным: