Попрбую обрисовать ситуацию.
WinXP SP2 (компьютер не мой)
Внешнее проявление:
Среди модулей, возвращаемых ZwQuerySystemInformation(SystemModuleInformation, ...)
имеется один, имя которого "затерто" пробелами.
Сторонние утилиты (например ProcessExplorere) тоже не могут корректно отобразить имя.
Подскажите, пожалуйста, как можно получить "настоящее имя" этого чуда природы ?
Хотелось бы познакимится с ним поближе, ну и прибить гада
Алгоритм решения может быть как для user mode, так и для kernel mode.
На данный момент:
Умеем получать PsLoadedModuleList и бегать по нему.
(Правда, и то и другое без "блокировки", но пока ладно)
Соответственно, находить нашего подопечного.
Если точнее, находим такие структуры, ему соответствующие:
(Названия структур собственнолапные и чуть-чуть не стыкуются с MSDN,
но заполняются при пробежке по PsLoadedModuleList корректно)
| Код |
|
(Имена подопечного, как и ожидалось, затерты пробелами)
Как имея на руках перечисленные данные, получить сам объект ?
Т.е. если это драйвер, то как получить PDRIVER_OBJECT ?
Вообщем нужно вытащить как можно больше информации.
Например имя ключа реестра ему соответствующее или имя файла из которого он загружался.
(Если таковые имеются конечно)
Еще есть возможность побегать по SYSTEM-ому HANDLE_TABLE,
посмотреть существующие Handle`ы и их "имена".
P.S.
Может надо парсить какие-то другие таблицы или LIST_ENTRY - ы ?
P.P.S.
Хотелось бы это сделать своими руками, а не при помощи сторонних утилит.
(Их буду использовать если самолапно не смогу решить задачку)
P.P.P.S.
При работе ожидаем от подопечного любых гадостей
(перехвата чего-то, правкии и т.д.)
)