嘿嘿 我那个回答是简单了些 :P

双机调试，如果系统被断下，所有核“凝固”。 下面是我机器的输出：1: kd> ln KiProcessorBlock(8055c580)   nt!KiProcessorBlock   |  (8055c600)   nt!KiFreezeFlagExact matches:    nt!KiProcessorBlock = <no type information>1: kd> dd KiProcessorBlock8055c580  ffdff120 f78b2120 00000000 000000008055c590  00000000 ...

显然没有关系。 eax=00000022 ebx=00000000 ecx=00000044 edx=0077005c esi=00000000 edi=ef4f1f2c eip=805da388 esp=ef4f1ab0 ebp=ef4f1ab8 iopl=0 nv up ei pl nz na pe nc cs=0008 ss=0010 ds=0023 es=0023 fs=0030 gs=0000 efl=00010206 nt!RtlUnicodeToMultiByteSize+0x1e: 805da388 0fb70a movzx ecx,word ptr [edx] ds:0023:0077005c=???? edx 里面已经是你的 UnicodeString ...

楼上的忘记感谢 MJ 了哦~ X86平台 微软的定义在： \base\ntos\inc\i386.h //// i386 Feature bit definitions//// N.B. The no execute feature flags must be identical on all platforms. #define KF_V86_VIS                   0x00000001#define ...

五一快乐！ ^_^

上次我没说？？ 罪过罪过 浪费你时间了... 《Interrupt Hooking and retrieving device information on Windows NT/2000/XP》 http://www.codeproject.com/KB/system/interrupthook.aspx 有源码，IDT Hook 模板和 Rootkit.com 的中断计数 POC 比较类似。多核下有问题。

嗯，Ke386CallBios 就是从 VDM 走的。 NTSTATUSKe386CallBios (    IN ULONG BiosCommand,    IN OUT PCONTEXT BiosArguments    ) /*++ Routine Description:     This function invokes specified ROM BIOS code by executing    ''INT BiosCommand.''  Before executing the BIOS code, this ...

下了个 ba 看了看，集中在几个函数：MiChargeCommitment、MiChargeCommitmentCantExpand 还有 MiInitializeLoadedModuleList。 其中以 ExAllocatePoolWithTag -> MiAllocatePoolPages -> MiChargeCommitmentCantExpand 分支最频繁。 MiInitializeLoadedModuleList 函数主要是从 PsLoadedModuleList 开始计算 CommittedPages += (DataTableEntry1->SizeOfImage >> ...

嗯，应该就是这么计算的。专门去找了一下实现 ( ..\private\windows\shell\taskman )，但是没找着...在 shell 文件夹下，最多的就是计算内存大小，方法也类似：    //    // Memory    //     Status = NtQuerySystemInformation(                ...

欢迎 sysnap~