ne_viens
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору 1. Два файла можно обойти, если драйвер в .rsrc секцию запихнуть. Потом вытащить с FindResource(), LoadResource(), LockResource(), SizeofResource(); записать в %temp%, запустить с OpenSCManager(), OpenService(), QueryServiceStatus(), ControlService(), DeleteService(), CreateService(), CloseServiceHandle(). 2. длл не имеет своего адресного пространства ее можно только в чужое (exe) загрузить. Также user mode отделено от kernel mode. Практически единственная связь только по DeviceIoControl(), WriteFile(), ReadFile(), и ещё какие-то механизмы синхронизации были. 3. В ntoskrnl.exe нужных ф-ий нет? К ключам реестра обычно нет доступа, если они созданы с правами system, а открываются от имени user, или случайно последний ноль подхвачен в названии с NtCreateKey(), или хендл не закрыт, или много чего может быть. |