riceworm

驱动小牛

注册日期2004-10-27
最后登录2008-10-22
粉丝0
关注0
积分5分
威望7点
贡献值0点
好评度6点
原创分0分
专家分0分

加关注写私信

阅读：2973回复：25

用户层 --> 内核层？？？讨论50分

楼主^#

更多发布于：2005-04-25 11:28

我有几个问题不明白，希望大虾伸出援助之手，50分以示谢意。

1.如何在驱动中调用NTDLL.DLL中的 NT开头的函数，例如NtCreateProcess.NtDelayExecution（不讨论驱动中的PsCreateSystemThread函数）。

2.NTDLL.DLL的导出函数和NTOSKRNL.EXE的导出函数有什么不同？

（我在编译的时候加上TARGETLIBS=$(DDK_LIB_PATH)\\ntdll.lib
，然后在头文件中加上原形申明，然后引用此函数。
NTSYSAPI NTSTATUS NTAPI NtCreateProcess(
OUT PHANDLE phProcess,
IN ACCESS_MASK DesiredAccess,
IN POBJECT_ATTRIBUTES ObjectAttributes,
IN HANDLE hParentProcess,
IN BOOLEAN bInheritParentHandles,
IN HANDLE hSection OPTIONAL,
IN HANDLE hDebugPort OPTIONAL,
IN HANDLE hExceptionPort OPTIONAL
);工程在编译的时候一个错误都没有，可是一启动就报什么重入的问题，请问这是怎么回事啊？？？

这只是一个技术讨论问题，请围绕在驱动中调用应用层函数这个主题

喜欢0

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	沙发^# 发布于：2005-04-27 17:54 说说
	回复(0) 喜欢(0)

violin 驱动牛犊注册日期2003-10-02 最后登录2009-08-22 粉丝0 关注0 积分4分威望83点贡献值0点好评度41点原创分0分专家分0分加关注写私信	板凳^# 发布于：2005-04-27 17:40 [quote]因为有些函数ntdll.dll中有而NTOSKRNL.EXE却没有。看wowocock老大的ring 0 call ring 3,也许有启发 [/quote] 晕了，这到底是谁的文章，怎么我看到的出处不同呢就是因为转载往往出处不明，如今写文章都喜欢加个“原创”
	回复(0) 喜欢(0)

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

地板^#

发布于：2005-04-27 17:21

wowocock老大
您对在驱动层hook应用层的api（ntdll.dll中关于时间的相关函数）有何高见.

还是采用常规的DLL HOOK的方法比较好,虽然也可以在NT核心下象9X那样在RING0挂接API,不过不保险.....

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	地下室^# 发布于：2005-04-27 16:43 ？？？
	回复(0) 喜欢(0)

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	5楼^# 发布于：2005-04-27 13:29 wowocock老大您对在驱动层hook应用层的api（ntdll.dll中关于时间的相关函数）有何高见.
	回复(0) 喜欢(0)

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

6楼^#

发布于：2005-04-27 10:16

顶，我发现在DriverEntry中出现PAGE_FAULT_IN_NONPAGED_AREA的错误，这是为什么啊？是不是在ring0中不能访问ring3的内存地址啊？

你要确保在同一个CONTEXT下

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	7楼^# 发布于：2005-04-26 15:09 顶，我发现在DriverEntry中出现PAGE_FAULT_IN_NONPAGED_AREA的错误，这是为什么啊？是不是在ring0中不能访问ring3的内存地址啊？
	回复(0) 喜欢(0)

bmyyyud

驱动老牛

注册日期2002-02-22
最后登录2010-01-21
粉丝0
关注0
积分1000分
威望130点
贡献值0点
好评度106点
原创分0分
专家分0分

加关注写私信

8楼^#

发布于：2005-04-26 15:02

正在再次接受arthurtu老大空投？？？

是啊
看
http://www.driverdevelop.com/forum/html_91247.html?1114498697

滚滚长江东逝水　浪花淘尽英雄　是非成败转头空　青山依旧在　几度夕阳红白发渔樵江渚上　惯看秋月春风　一壶浊酒喜相逢　古今多少事　尽付笑谈中

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	9楼^# 发布于：2005-04-26 13:15 正在再次接受arthurtu老大空投？？？
	回复(0) 喜欢(0)

bmyyyud

驱动老牛

注册日期2002-02-22
最后登录2010-01-21
粉丝0
关注0
积分1000分
威望130点
贡献值0点
好评度106点
原创分0分
专家分0分

加关注写私信

10楼^#

发布于：2005-04-26 09:25

老大有结果了吗？

正在再次接受arthurtu老大空投

滚滚长江东逝水　浪花淘尽英雄　是非成败转头空　青山依旧在　几度夕阳红白发渔樵江渚上　惯看秋月春风　一壶浊酒喜相逢　古今多少事　尽付笑谈中

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	11楼^# 发布于：2005-04-26 08:57 老大有结果了吗？
	回复(0) 喜欢(0)

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	12楼^# 发布于：2005-04-25 16:50 顶
	回复(0) 喜欢(0)

bmyyyud

驱动老牛

注册日期2002-02-22
最后登录2010-01-21
粉丝0
关注0
积分1000分
威望130点
贡献值0点
好评度106点
原创分0分
专家分0分

加关注写私信

13楼^#

发布于：2005-04-25 16:23

俺在线等候您的回复

这恐怕累点，偶现在还挂着呢
看看这个
http://www.driverdevelop.com/forum/html_91202.html?1114417235
http://www.driverdevelop.com/forum/html_91012.html?1114417240
http://www.driverdevelop.com/forum/html_90820.html?1114417265

滚滚长江东逝水　浪花淘尽英雄　是非成败转头空　青山依旧在　几度夕阳红白发渔樵江渚上　惯看秋月春风　一壶浊酒喜相逢　古今多少事　尽付笑谈中

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	14楼^# 发布于：2005-04-25 16:14 俺在线等候您的回复
	回复(0) 喜欢(0)

bmyyyud

驱动老牛

注册日期2002-02-22
最后登录2010-01-21
粉丝0
关注0
积分1000分
威望130点
贡献值0点
好评度106点
原创分0分
专家分0分

加关注写私信

15楼^#

发布于：2005-04-25 16:12

代码已发出，请bmyyyud大侠查收，有劳您帮我分析分析，万分感谢

收到

滚滚长江东逝水　浪花淘尽英雄　是非成败转头空　青山依旧在　几度夕阳红白发渔樵江渚上　惯看秋月春风　一壶浊酒喜相逢　古今多少事　尽付笑谈中

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	16楼^# 发布于：2005-04-25 16:03 代码已发出，请bmyyyud大侠查收，有劳您帮我分析分析，万分感谢
	回复(0) 喜欢(0)

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	17楼^# 发布于：2005-04-25 15:38 我一会把我写的程序发给你，你能帮我看看，分析一下存在那些问题好吗。
	回复(0) 喜欢(0)

bmyyyud

驱动老牛

注册日期2002-02-22
最后登录2010-01-21
粉丝0
关注0
积分1000分
威望130点
贡献值0点
好评度106点
原创分0分
专家分0分

加关注写私信

18楼^#

发布于：2005-04-25 15:07

bmyyyud：
看wowocock老大的ring 0 call ring 3,也许有启发

这在本论坛可以找到吗？如果可以能否提供URL。

http://www.driverdevelop.com/forum/viewthread.php?tid=88451

滚滚长江东逝水　浪花淘尽英雄　是非成败转头空　青山依旧在　几度夕阳红白发渔樵江渚上　惯看秋月春风　一壶浊酒喜相逢　古今多少事　尽付笑谈中

回复喜欢

riceworm 驱动小牛注册日期2004-10-27 最后登录2008-10-22 粉丝0 关注0 积分5分威望7点贡献值0点好评度6点原创分0分专家分0分加关注写私信	19楼^# 发布于：2005-04-25 13:14 bmyyyud：看wowocock老大的ring 0 call ring 3,也许有启发这在本论坛可以找到吗？如果可以能否提供URL。
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册

用户层 --> 内核层？？？讨论50分

最新喜欢：