Русский / Russian English / Английский

Сейчас на форуме: (+2 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Основной форум —› ShowSnaps\ShowErrors
Посл.ответ Сообщение

Ранг: 154.3 (ветеран)
Статус: Участник

Создано: 4 августа 2011 01:52 · Поправил: VOLKOFF New!
Цитата · Личное сообщение · #1

Известно что загрузчик может логировать события и ошибки.
За этого отвечают переменные:
ShowSnaps - включает основное логирование.
ShowErrors - включает логирование ошибок.
LdrpShowInitRoutines - включает логирование нотификаций.

ShowSnaps, насколько я понял, активируется добавлением
Code:
  1. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager]
  2. "GlobalFlag"=dword:00000402
  3.  
  4. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Memory Management]
  5. "PoolTagOverruns"=dword:00000001


Или создать папку с именем ехе в
Code:
  1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

и создать в ней GlobalFlag с параметром 2

В итоге мы должны получить:

и в логе ольки:


Есть еще офф утилита для управления глобальными флагами из Support Tools



Не могли бы вы рассказать подробнее про все это, на моей win7 эффекта нет, хоть вроде все и правильно делаю.
Суть в просмотре загрузки DLL перед DllMain и выяснении проблем.
Может для ольки есть еще хитрости с подробным логированием?

{ Атач доступен только для участников форума } - gflags.rar


Ранг: 793.4 (! !)
Статус: Участник
Шаман

Создано: 4 августа 2011 10:56 New!
Цитата · Личное сообщение · #2

Можно попробовать поменять NtGlobalFlag прямо в PEB, стоя на System BreakPoint.


Ранг: 2011.1 (!!!!)
Статус: Модератор
retired

Создано: 4 августа 2011 18:01 New!
Цитата · Личное сообщение · #3

Если ОС х64, возможно, флаги раздельные для х86 и х64. Можешь в эту сторону поглядеть.

Ранг: 154.3 (ветеран)
Статус: Участник

Создано: 4 августа 2011 18:37 New!
Цитата · Личное сообщение · #4

ОС 32бит. Под ХР люди с отладчиком в юзермоде ограничиваются локальными флагами в Image File Execution Options.
Для этой ветки перезагрузка не нужна.
Может в 7ке как-то хитрее это делается хз...
 eXeL@B —› Основной форум —› ShowSnaps\ShowErrors

Видеокурс ВЗЛОМ