Насколько уникаленым может быть HWID?

[alexteam]

имена приложений и т д)))

Х_х

[mira]

Вощем тут возникла задачка заменить хвид. Промониторил клиент - читаютса хвиды ряда железок и имя машины из реестра. Перехватил RegQueryValueEx и о горе, в перехваченых вызовах нет этих запросов RegQueryValue в итоге всеравно вызывает RegQueryValueEx

Добавлено через 7 минут
Драйвера там нет. Какже они читают в обход этой апи? Юзать какоенить zwQueryKey с их стороны было бы глупо не говоря про int 2e - риск несовместимости с сервиспаками и осями слишком велик.
Читал про темиду что важные рутины она както защищает от враппинга и перехвата. Нет ли у каво инфы насчет этого?
хотя сомневаюсь что мне чето подскажут посуществу =/

[destructor]

перепрыгивают твой хук? не?

Добавлено через 4 минуты

Сообщение от mira

зать какоенить zwQueryKey с их стороны было бы

данунах.

Добавлено через 17 минут

Сообщение от mira

Читал про темиду что важные рутины она както защищает от враппинга и перехвата.

тоже "перепрыгивает".
но тут, если ты ставишь хуки до загрузки запакованного модуля , все будет нормально.

[mira]

Думаеш они вызывают функцию не с начала предполагая что там может стоять заплатка? Я просто не перехватывал неразу реестр и хз где захучить. Как я понимаю все чтения даных ключей сводятса к zwquery, та ваще нече не делает. Тупо ложит в еах номер системного шлюза и вызывает инт2е и востанавливает стек =/
хукнул ее сплайсом но увы вызовов оказалось значительно менше чем то что увидел монитор реестра со стороны клиента

[destructor]

Сообщение от mira

Как я понимаю все чтения даных ключей сводятса к zwquery

точно хз, но помоему там чтото еще

[mira]

Блин инфы мало по тому как достать входные параметры zw..
Сделал джам к себе, там
mov eax, esp
syscall=stdcall
значит в [eax+0] по [eax+5] должны быть входные параметры или мб с [eax+1] если учесть еще адрес возврата. Одним из параметров являетса valuename : pwidechar но вот в стеке ниче похожего на юникод-строку не оказалось. Параметры вроде похожи на ожидаемые, но что мля со строкой там какоет гавно а не чары по адресу

[destructor]

Сообщение от mira

Блин инфы мало по тому как достать входные параметры zw..

это обычные __stdcall функции.

http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx
http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx

Добавлено через 4 минуты
только винда юзает Nt.... надо их и ловить.
защита может заюзать Zw... и возможно их тоже придется ловить

+не забывай на случай протектора:

Сообщение от destructor

если ты ставишь хуки до загрузки запакованного модуля, все будет нормально.

[mira]

Nt и zw разные экспорты но точка входа в ntdll одна
понял, там нифига не pwidechar а е*учая PUNICODE_STRING структура, чемто похожая на рантаймовский sting делфи.

Добавлено через 5 минут
Про сискалл я и написал что это тотже стдкалл
кстате на этой версии защиты палитса та фишка уже с вмт уже, пришлось отступать на шаг глубже.

[destructor]

Сообщение от mira

Nt и zw разные экспорты но точка входа в ntdll одна

а если на вин7 x64 посмотреть?)

Добавлено через 4 минуты

Сообщение от destructor

а если на вин7 x64 посмотреть?)

сори, туплю, ты прав.

[mira]

Да действительно есть еще и рутина zwEnumerateValueKey читающая по индексу значения суб-ключей. Воевать так воевать

Добавлено через 2 часа 50 минут
подменил пока в zwQueryValueKey тока все запросы DeviceInstance

Добавлено через 1 минуту
о чудо первые успехи в клиенте пропал звук )))))))))))))