вторник, 15 ноября 2016 г.

W32pServiceTableFilter from windows 10 build 14951 x64

›
kd> ? nt!KeServiceDescriptorTableFilter Evaluate expression: -8795428636992 = fffff800`2799b6c0 kd> dps fffff800`2799b6c0 fffff800`279...
среда, 9 ноября 2016 г.

rfg longjumps

›
In IMAGE_LOAD_CONFIG_DIRECTORY64 there are two fields for setjmp/longjmp support - GuardLongJumpTargetTable & GuardLongJumpTargetCount....
воскресенье, 30 октября 2016 г.

ntstatus.idc for WDK 10.0.14931.0

›
added 95 new NTSTATUS values

IMAGE_LOAD_CONFIG_DIRECTORY from sdk 14951

›
typedef struct _IMAGE_LOAD_CONFIG_CODE_INTEGRITY {     WORD    Flags;          // Flags to indicate if CI information is available, etc.    ...
пятница, 28 октября 2016 г.

how to find nt!KeServiceDescriptorTableFilter

›
Unfortunately all xrefs to KeServiceDescriptorTableFilter are from non-exported functions, for example PsConvertToGuiThread :      test    ...
среда, 19 октября 2016 г.

rfg patches in windows 10 build 14942

›
Lets see for example body of function user32!GetCursor: .text:00000001800026E0             GetCursor       proc near          .text:0000000...
понедельник, 10 октября 2016 г.

another cross-process scan

›
you can use EPROCESS.WnfContext to find list of processes. Lets see how this can be done: kd> ? nt!ExpWnfProcessesListHead Evaluate expr...