Vallid Mar 5 2015 at 12:57

Hotpatch. Патчим память ядра Windows

6 min

23K

Information Security*Reverse engineering*

From sandbox

+29

Comments 7

datacompboy Mar 5 2015 at 17:03

Удивлён отсутствию проверки попдиси M$ на драйвере для хотпатча…

boov Mar 5 2015 at 19:05

Скажите, а за счет чего достигается потокобезопасность при переписывании mod edi, edi на короткий джамп?

MacIn Mar 5 2015 at 19:10

Атомарные операции.

gleb_l Mar 5 2015 at 20:39

Адрес точки входа, соответственно, должен быть четным, чтобы слово переписалось за один цикл шины — или для современных систем это уже неактуально, не знаю

MacIn Mar 5 2015 at 21:41

Скорее всего, используется LOCK, который блокирует шину на столько циклов, сколько надо, чтобы операция завершилась.
Это вопрос оптимизации скорости доступа, но работать должно и на невыровненых адресах. Так как hotpatching — разовая операция, это не имеет значения.

DartRaven Jul 13 2015 at 16:19

Судя по описанному тут, процесс на время непосредственного применения хотпатча занимает все CPU в системе.

MacIn Jul 13 2015 at 22:18

Это, судя по всему, нужно не просто для потокобезопасности (тут простого interlocked exchange'а с lock префиксом хватило бы), а для того, чтобы другим потоком не был инициирован системный вызов, который уже пропатчен, но вызывает другую фнукцию, к которой патч еще не применен.