Autor
Eternal Idol, a riesgo de meter la pata, NtQuerySystemInformation es una api para
ser usada desde el kernel?
ser usada desde el kernel?
El que corre el riesgo
Si hubieras abierto el WinDbg y hecho lo que comentaba al principio sabrias que es posible modificar esta funcion manualmente incluso. por q yo en mi msdn no la veo, ademas por google vi esto:
Esta indocumentada como casi toda la NTDLL (DLL de modo Usuario).
http://undocumented.ntinternals.net/
De ser para kernel tendré q seguir buscando ya q estoy hookeando en ring 3...
Mira mi mensaje anterior:
ntdll!ZwQuerySystemInformation:
7c90e1aa b8220000c0 mov eax,0C0000022h
7c90e1af c21000 ret 10h
En modo Usuario ZwQuerySystemInformation y NtQuerySystemInformation son la misma direccion (una es alias de la otra). Y lo que hacen es pasar a modo Kernel donde la nt!NtQuerySystemInformation se encargara de retornar los valores que como bien dice lo que citas solo estan disponibles (DIRECTAMENTE) en modo Kernel.
En línea
