Quantcast
Channel: 看雪安全论坛
Viewing all articles
Browse latest Browse all 9556

【求助】初始化线程时修改了_KTHREAD::ServiceTable之后。。。

$
0
0
前段时间发了个求助帖,看这里:
http://bbs.pediy.com/showthread.php?p=1161725#post1161725。

首先感谢cvcvxk和Winker。

但是问题接踵而来:
以OLLYICE为例:
未加载驱动时,该进程拥有两个线程(通过procexp.exe观察):
TID ... ..... Start Address
1380 OllyICE+0x1000
1416 Loaddll.dll+0x108d

加载了驱动之后,只有一个线程:
TID ... ..... Start Address
1380 OllyICE+0x1000

就是说起始地址不在进程映像文件中的线程没有被创建。

同样的情况也发生在procexp.exe本身,凡是所有起始地址不在procexp.exe中的线程都不会被创建。

OLLYICE和procexp.exe唯一的不同是,即便是没有被创建的线程,OLLYICE也能正常启动;而procexp.exe则在启动后迅速崩溃,提示某内存地址不可写。

请诸大神推断一下这种情况是哪里出了问题?:3:

Viewing all articles
Browse latest Browse all 9556

Trending Articles



<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>