_lunar_ - Форум программистов и сисадминов Киберфорум

Доступ к терминальной сессии (Session 0) после обновления 22H2

Запись от _lunar_ размещена 08.02.2023 в 12:40

Показов 7727 Комментарии 0

Метки c, c++, winapi

Дополнительная информация и аттач для скачивания тут

Давно я ничего не писал в блоге, да и ценности в жизни меняются - занимаюсь кодингом всё меньше и меньше, но окончательно бросить всё же не могу (после стольких лет моего увлечения программированием).
А сподвигло меня на новый анализ ядра...

_lunar_

Разбираемся в новом API KLoader. Часть 2: Deep Internal Research

Запись от _lunar_ размещена 04.06.2022 в 01:55

Показов 2419 Комментарии 0

Метки c, c++, winapi

Разбираемся в новом API KLoader. Часть 1: Общие сведения

Из первой части исследования стало известно, что в реестре Windows 11 есть раздел, который не доступен с правами администратора.
И чтобы узнать что в нём находится пришлось повысить права реестра до уровня СИСТЕМА.
Следовательно, такими...

_lunar_

Разбираемся в новом API KLoader. Часть 1: Общие сведения

Запись от _lunar_ размещена 25.05.2022 в 00:56

Показов 3019 Комментарии 0

Метки c, c++, winapi

Во-первых, сразу уточню, что новый API доступен только в Windows 11. В более старых версиях ОС не ищите, его там нет.

Уже и не помню каким образом я наткнулся на ветку реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\KLoader
но результат запроса на открытие меня немного удивил

Нажмите на изображение для увеличения
Название: 1.jpg
Просмотров: 570
Размер: 84.2 Кб
ID: 7549

Отказано в доступе с учётом того, что Реестр по умолчанию открывается с правами администратора с соответствующим запросом UAC.

"Не...

_lunar_

Стек вызовов Windows API

Запись от _lunar_ размещена 11.04.2022 в 14:59

Показов 2746 Комментарии 0

Метки c, c++, winapi

В этой записи я постараюсь простым понятным языком объяснить что такое API в целом, а также его разновидности в зависимости от того, где это API исполняется.

Сперва, предлагаю внимательно посмотреть на скриншот и запомнить последовательность вызовов
(не стал рисовать...

_lunar_

Объекты операционной системы. Часть 4: Отладчик уровня ядра WinDbg

Запись от _lunar_ размещена 24.12.2021 в 19:41

Показов 3832 Комментарии 0

Метки c, c++, winapi

Объекты операционной системы. Часть 1: Общие сведения
Объекты операционной системы. Часть 2: Объект ядра
Объекты операционной системы. Часть 3: Уровень целостности

В этой части я решил показать самые интересные, на мой взгляд, возможности ядерного отладчика WinDbg.
Но сначала немного слов о том, как его установить и как им пользоваться....

_lunar_

Объекты операционной системы. Часть 3: Уровень целостности

Запись от _lunar_ размещена 08.12.2021 в 01:51

Показов 4851 Комментарии 3

Метки c, c++, winapi

Объекты операционной системы. Часть 1: Общие сведения
Объекты операционной системы. Часть 2: Объект ядра

Честно говоря, третью часть блога "Объекты операционной системы" я хотел написать совершенно про другое.
В планах было показать работу ядерного отладчика WinDbg, но в процессе подготовки материала...

_lunar_

Объекты операционной системы. Часть 2: Объект ядра

Запись от _lunar_ размещена 16.11.2021 в 12:22

Показов 7418 Комментарии 3

Метки c, c++, winapi

Объекты операционной системы. Часть 1: Общие сведения

Больший интерес из всех трёх групп объектов представляет категория объект ядра.
Рассмотрим более подробно Kernel object.

Каждый объект ядра - это блок памяти, выделенный ядром ОС и доступный только ядру ОС.
Этот блок памяти представляет собой структуру данных, члены которой хранят информацию об объекте (дескриптор...

_lunar_

Объекты операционной системы. Часть 1: Общие сведения

Запись от _lunar_ размещена 12.11.2021 в 00:09

Показов 5194 Комментарии 5

Метки c, c++, winapi

В этом блоге я решил затронуть такую тему, как объекты операционной системы семейства Windows.
Очень часто начинающие программисты, да и обычные пользователи, не могут прийти к пониманию - что есть объект и для чего нужен дескриптор объекта.
Материал даётся с учётом того, читающий данный блог уверенно разбирается в языках программирования C и C++, а также знает основы внутренней архитектуры ОС Windows.

Начнём с определения объекта.
Объект - это структура...

_lunar_

Прогулка по Рабочему столу Winlogon. Часть 2: Привет, друг

Запись от _lunar_ размещена 08.06.2021 в 01:52

Показов 4546 Комментарии 2

Метки c, c++, winapi

Прогулка по Рабочему столу Winlogon. Часть 1: UAC

Когда ребята из Microsoft создавали экран приветствия, где пользователь должен ввести логин и пароль,
наверняка они хотели изобрести что-то мощное, что не дало бы не единого шанса на обход пароля и перехода к обычному Рабочему столу.
И всё бы ничего, но один эксплойт они проглядели. Давайте разбираться.

Что же такое экран приветствия? На этот вопрос нам поможет ответить всё тот же KernelExplorer
...

_lunar_

Прогулка по Рабочему столу Winlogon. Часть 1: UAC

Запись от _lunar_ размещена 02.06.2021 в 00:55

Показов 6638 Комментарии 7

Метки c, c++, winapi

В современной операционной системе Windows есть области ядра, в которые Microsoft не хотела бы пускать обычных пользователей. Сделано это, естественно, в целях безопасности.
Это могут быть процессы, сервисные службы, и даже Рабочие столы. Немного освежим память для целостности...

_lunar_

Постоянная ссылка на Google Диск для скачивания моих утилит

Запись от _lunar_ размещена 03.03.2021 в 10:55

Показов 9913 Комментарии 0

Метки c, c++, winapi

В этом блоге я буду выкладывать свои программы/утилиты с постоянной ссылкой.
Все обновления будут визироваться именно в этой постоянной ссылке.
Выкладывать архивы с новыми ревизиями больше не стану, слишком много вложений в разных темах получается и пользователи теряются.

KernelExplorer

Исходный код на GitHub

Скачать с GitHub

ВНИМАНИЕ!!!
В связи с ненормальной политикой Microsoft в отношении...

_lunar_

Вскрываем защиту ProtectedLite процессов на уровне пользовательского кода

Запись от _lunar_ размещена 20.02.2021 в 12:19

Показов 5423 Комментарии 0

Метки c, c++, winapi

Начну немного с теории - как это работает и для чего это нужно.
При разработке нового ядра, отличного от ядра Windows XP, в Microsoft придумали такую штуку как изоляция критических процессов.
Следствием этого стали защищенные процессы (Process Protected), которые могли создавать только...

_lunar_

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 3: Эпилог

Запись от _lunar_ размещена 30.01.2021 в 13:33

Показов 7739 Комментарии 0

Метки c, c++, winapi

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 1: Windows Vista - Windows 7
Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 2: Windows 8 - Windows 10

В заключительной части много слов не будет. Я лишь скажу то, что мне всё таки удалось восстановить вырезанную Майкрософтом часть системы - сервис...

_lunar_

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 2: Windows 8 - Windows 10

Запись от _lunar_ размещена 10.01.2021 в 12:16

Показов 6950 Комментарии 0

Метки c, c++, winapi

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 1: Windows Vista - Windows 7

Первая часть блога по исследованию сервиса UI0Detect в больше степени касается таких операционных систем, как Windows Vista и Windows 7.
Механизм переключения на Рабочий стол нулевой сессии в этих ОС одинаков (за исключением некоторых неважных мелочей).
Но в Windows 8/8.1 и Windows 10 ядро было переписано в угоду "безопасности". Коснулись...

_lunar_

Исследование сервиса "Обнаружение интерактивных служб" (UI0Detect) Часть 1: Windows Vista - Windows 7

Запись от _lunar_ размещена 06.11.2020 в 12:15

Показов 10227 Комментарии 3

Метки c, c++, winapi, windows

После насквозь "дырявой" Windows XP в Microsoft прикинули расклад и задались вопросом - как же изолировать систему от пользователя?
Ведь в XP пользователь работал в той же среде, что и ядро операционной системы.
Поэтому с выходом Windows Vista компания представила новый механизм...

_lunar_

Обход Anti-Malware Scan Interface (AmsiScanBuffer bypass)

Запись от _lunar_ размещена 01.01.2020 в 19:15

Показов 7481 Комментарии 0

Метки c, c++, winapi

С релизом Windows 10 компания Microsoft представила новый интерфейс, который могут использовать приложения и службы, отправляя «контент» поставщику антивирусного ПО, установленному в системе (например Windows Defender).
Называется этот интерфейс Anti-Malware Scan Interface и представлен в системной...

_lunar_

Windows Internal на примере user32.dll!__ClientLoadLibrary (Часть 1.0)

Запись от _lunar_ размещена 29.10.2019 в 16:15

Показов 11551 Комментарии 0

Метки c, c++, winapi

Internal (или внутренние) функции операционной системы Windows как известно не входят в таблицу экспорта и используются исключительно самой библиотекой для различных вычислений.
Кроме того, системные библиотеки Windows условно можно разделить на 2 группы:
- пользовательские...

_lunar_

Правильный прототип LdrLoadDll

Запись от _lunar_ размещена 22.07.2019 в 15:14

Показов 12175 Комментарии 0

Метки c, c++, winapi

Почему-то везде в интернете ходит один и тот же неправильный прототип nt-функции LdrLoadDll

C++
1
2
3
4
5
6
7
8
9
NTSYSAPI
NTSTATUS
NTAPI
LdrLoadDll(
    _In_opt_ PWSTR DllPath,
    _In_opt_ PULONG DllCharacteristics,
    _In_ PUNICODE_STRING DllName,
    _Out_ PVOID *DllHandle
    );

ведать один написал (ещё со времен какой-нить висты) и все с него бездумно копируют.

...

_lunar_

Чтение данных PE заголовка

Запись от _lunar_ размещена 27.03.2019 в 13:13

Показов 9372 Комментарии 1

Метки c, winapi

Несмотря на то, что исполняемые файлы имеют чёткую структуру и документированное описание, найти полезную информацию в интернете о том как читать PE заголовок достаточно сложно (если вообще возможно).

Переписывать документацию наверное не имеет смысла. Вместо этого...

_lunar_

Прототип RtlCreateUserProcessEx

Запись от _lunar_ размещена 29.01.2019 в 10:25

Показов 6799 Комментарии 0

Метки c, winapi

Потребовалось недавно создать процесс средствами Native API.
Из всего набора функций ntdll.dll имеются следующие варианты:
1. NtCreateProcess(Ex) - создаётся элементарно просто (NtOpenFile -> NtCreateSection -> NtCreateProcess -> NtGetContextThread -> NtCreateThread) но связать процесс с csrss слишком геморно, поэтому дальше...

_lunar_

Загрузка динамических библиотек без kernel32.dll

Запись от _lunar_ размещена 22.01.2019 в 13:08

Показов 6633 Комментарии 0

Метки c, winapi

Решил написать небольшой пример для загрузки DLL средствами NativeAPI (полностью независимого от Kernel32.dll кода).
Самое главное, я напишу именно 64 битный код, т.к. в интернете одно 32 битное старье и то не доделано до конца.
Для этого я буду использовать 64 битный указатель *__ptr64....

_lunar_

Новые блоги и статьи Все статьи Все блоги /
Установка MinGW GCC 16.2 и CMake 8Observer8 10.08.2026 VK Видео: https:/ / vkvideo. ru/ video-240781534_456239017 YouTube: eY5-5PyI9NM Текстовая версия	Неделя из жизни имитационной модели склада: мои кривые руки растут, откуда надо anaschu 10.08.2026 Неделя из жизни имитационной модели склада: как я почти написал неправильную логику и что с этим делать Работаю сейчас над учебно-рабочим проектом: строю в AnyLogic имитационную модель процессов. . .	Калькулятор для расчета родства russiannick 07.08.2026 1. Задача: Создать калькулятор для расчета родства. Родственных связей существует 8 ступеней, такие как: p - отец P - мать q - муж Q - жена b - брат B - сестра s - сын S - дочь	Мир по моей воле kumehtar 07.08.2026 Когда-то кажется, что всё просто. Ты весь такой светлый. Причиняешь добро. Борешься за справедливость в этом тёмном мире. Потом начинаешь замечать одну неприятную вещь. Почти каждый хороший. . .
Кредитный калькулятор Maks 05.08.2026 Решение задачи по прикладной информатике средствами 1С. Задача: Напишите приложение-калькулятор, которое помогает рассчитывать параметры кредита для аннуитетного и дифференцированного видов. . .	У нас сейчас поговорку "Опять 25" нужно переделать на "Опять +35". kumehtar 04.08.2026 С ностальгией вспоминаю времена моего детства, когда у нас и правда +25 - была максимальная температура летом. Раньше +25 °C реально казались вершиной жары, когда можно было весь день пропадать на. . .	Как ИИ начал спорить и врать (возможно почуяв опасность для себя от индустрии - уход от электроники). Hrethgir 04.08.2026 Недельный диалог, на фоне событий с НПЗ. Да, из спирта можно получать бензин, и это не сложно. Но потом в схеме я решил избавиться от насоса, при этом полностью сделав контроль подачи спирта в. . .	Термопринтер QR701 Argus19 03.08.2026 Термопринтер QR701 Купил два термопринтера QR701. На сэлф-тесте написано: Language: PC936 (GB18030). Что означает, что принтеры могут печатать только латиницу и китайские иероглифы. Так же. . .

Сообщение форума

Отменить изменения