Как можно перехватить событие закрытия программы

← →
Nemec © (2006-09-17 23:25) [120]

Удалено модератором
Примечание: Offtopic

← →
Nemec © (2006-09-18 06:48) [121]

Удалено модератором
Примечание: Offtopic

← →
Игорь Шевченко © (2006-09-18 10:23) [122]

Ketmar © (17.09.06 10:50) [101]

> потому что Nt в конце-концов всё равно вызывают Zw.

С точностью до наоборот

← →
Eraser © (2006-09-18 11:37) [123]

> [122] Игорь Шевченко © (18.09.06 10:23)

на сколько мне известно, точка входа у этих функций одна, просто при вызове nt проверяются параметры, так что трудно сказать кто-кого вызывает. Хотя могу ошибаться, Руссановича давно читал..

← →
Прочитавший ветку (2006-09-18 11:39) [124]

Игорь Шевченко © (18.09.06 10:23) [122]
>С точностью до наоборот
А из каких, тогда соображений перехватывают Zw - функции, а не Nt ?

← →
Eraser © (2006-09-18 11:44) [125]

> [123] Eraser © (18.09.06 11:37)

> точка входа у этих функций одна

только в пользовательском режиме естественно.

Прочитавший ветку (18.09.06 11:39) [124]

> А из каких, тогда соображений перехватывают Zw - функции,
> а не Nt ?

Если кто пройдет TDump"ом по ntdll.dll, то он увидит, что и Zw- и Nt- функции имеют одинаковый адрес. Поэтому выбор семейства функции для перехвата диктуется исключительно религиозными соображениями.

Мой пост [122] относился к дальнейшему пути выполнения этих функций, так как в ntoskrnl.exe тоже существуют Zw- и Nt- функции. Так вот, Zw как раз и вызывают Nt. В ядрес.

← →
Дракон (2006-11-17 23:18) [128]

Удалено модератором
Примечание: Offtopic

Как можно перехватить событие закрытия программы Найти похожие ветки