inline funktion hooking - система превосходящая IAT (захват таблицы импорта), называеться захват функции путем прямого изменения ее кода. У нее нет проблем с занятостью приложений. С помощью него можно напрямую изменять код ужной нам захватываемой функции, и поэтому всей системе плевать как и когда и кто разрешит адреса этих функций. Должно выглядеть это примерно так для видоха ХР второй серки:
сначала сохраняються несколько байт целеой функции, которые заменються 5-ти байтовой (вроде под их пи так) функцией перехода. 5 байт требует инструкция безусловного перехода, которую сами мелкомяхкие и разработали - а сделали они это чтобы их продукты имели возможноть обновляться в режиме онляма без перегрузки....
И не стоит говорить
"Поскольку структуры объектов ядра доступны только ядру, приложение не может самостоятельно найти эти структуры в памяти и напрямую модифицировать их содержимое Такое ограничение Microsoft ввела намеренно, чтобы ни одна программа не нарушила целостность структур объектов ядра. Это же ограничение позволяет Microsoft вводить, убирать или изменять элементы структур, нс нарушая работы каких-либо приложений."
так как изменения как надеюсь мой лапочка Jes (пасибки те за внимание) ты понял касаються самого ядра....
а помощь мне нужна небольшая, всеголишь узнать как просмотреть таблицу импорта, я не могу ее найти а по правде и не умею толком, и как нати адреса начала функий и больше ничего(((
Зная адресс загрузки, анализируем ядро, как обычный PE-файл, т.е. ддос заголовок, потом PE заголовок, потом переходим в директорию экспорта и получаем адресса необходимых нам процедур, расположенных в ядре.
как получаем эти адеса объясни пожалуйста..... пожалуйстаааааа.....