= Val3ntin's Blog =

как гугл тестирует ПО

2012-01-07T03:56:00.000-08:00

Недавно наткнулся на довольно интересную статью на Хабре. Советую к прочтению и прослушиванию вебинара :).

Traum Library - БИБЛИОТЕКА ТРАУМА

2011-12-13T09:40:00.000-08:00

Недавно наткнулся в сети на Traum library - это огромнейшая библиотека электронных книг в

формате fb2, epub и т.п. Советую всем - тут можно взять уже готовый сборник .

python script which finds hex values in a file

2011-06-21T01:29:00.000-07:00

Recently I needed to parse a few log files and then to compare them in WinMerge utility. Files had different structure, but they both contained HEX values which had to be verified for compliance.

Thus, I created a simple python script ( thanx Google :) ) which looks for hex values in a file using regexp . Actually, this script walks through a specified folder where files are and then creates parsed output files containing HEX values with an additional '_hex.txt' extension in their names

Here is a script:

import os
import re
def look_for_hex_in_files(filepath,writefilepath):
f = open(filepath, 'r')
fwr = open(writefilepath, 'w')
for line in f:
b = line
for b1 in re.finditer('0x0*[0-9a-fA-F][0-9a-fA-F]*', b):
a = (b1.group(0))
print(a)
fwr.write(a+'\n')
f.close()
fwr.close()

#this is a path to folder containing input log files to be parsed
dirname = "C:\ProgramData\log1"

for filename in os.listdir(dirname):
b1 = (os.path.join(dirname,filename))
if os.path.isfile(b1):
print(b1)
filepath = b1;
writefilepath = (b1+"_hex.txt")
look_for_hex_in_files(filepath,writefilepath)

the case of inline hook by RkU

2010-10-29T12:15:00.000-07:00

One day RkU showed an inline hook:

RkUnhooker report generator v0.7
==============================================
Rootkit Unhooker kernel version: 3.8.380.580
==============================================
Windows Major Version: 5
Windows Minor Version: 1
Windows Build Number: 2600
==============================================
ntkrnlpa.exe+0x0006ECBE, Type: Inline - RelativeJump 0x80545CBE [ntkrnlpa.exe]

I've decided to investigate what the real problem was.
First thing I did was checking nt image loaded into memory:

kd> !chkimg -d nt
80537028-8053702c 5 bytes - nt!ExAllocatePool (+0x3c7ae )
also here were about 4 hooks with 5 bytes each ....

Here we can see that real address of nt!ExAllocatePool (0x8053702c) is changed to 0x80537028

I viewed disassembling of the real 0x8053702c address

0: kd> u 8053702c
nt!ExAllocatePool+0x4:
8053702c 39684e cmp dword ptr [eax+4Eh],
ebp
8053702f 6f outs dx,dword ptr [esi]
80537030 6e outs dx,byte ptr [esi]
80537031 65ff750c push dword ptr gs:[ebp+0Ch]
80537035 ff7508 push dword ptr [ebp+8]
80537038 e82b490100 call nt!ExAllocatePoolWithTag (8054b968)
8053703d 5d pop ebp
8053703e c20800 ret 8

Then I wanted to see what code has been at 0x80537028 address:

0: kd> u 80537028
nt!ExAllocatePool:
*** ERROR: Module load completed but symbols could not be loaded for svenbowm.SYS
80537028 e90c98e939 jmp svenbowm+0x839 (ba3d0839)
8053702d 684e6f6e65 push 656E6F4Eh
80537032 ff750c push dword ptr [ebp+0Ch]
80537035 ff7508 push dword ptr [ebp+8]
80537038 e82b490100 call nt!ExAllocatePoolWithTag (8054b968)
8053703d 5d pop ebp
8053703e c20800 ret 8
80537041 cc int 3

So here's an answer: the module svenbown made inline hook at address 0x80537028 .
This module <svenbown> refers to RkU driver.
So I had no fear that my system had been infected by some malicious software. It was only RkU's inline hook :-) which had been set as soon as RkU's driver had been loaded .

windbg: view IAT table of kernel modules

2010-10-20T06:02:00.000-07:00

This time we'll be looking for functions and their addresses in IAT (Import Address Table) in one of kernel modules, e.g. Ntfs.sys

First you need to do in windbg is to view file headers of module and get IAT address :

0: kd> !dh -f ntfs
File Type: EXECUTABLE IMAGE
FILE HEADER VALUES
   0 DLL characteristics
   0 [ 0] address [size] of Export Directory
   86674 [ 50] address [size] of Import Directory
   17B80 [ 51C] address [size] of Import Address Table Directory
............................................................................

Then you need to find out module's start address:

0: kd> lm m ntfs
start end module name
b9e35000 b9ec1600 Ntfs (deferred)

And now when you know IAT directory address and module's start address you can look whole list of functions in IAT of Ntfs module

0: kd> dds b9e35000+17b80
b9e4cb80 806e69f0 hal!KeAcquireInStackQueuedSpinLock
b9e4cb84 806e6940 hal!ExAcquireFastMutex
b9e4cb88 806e6aa8 hal!KeReleaseQueuedSpinLock
b9e4cb8c 806e6a4c hal!KeAcquireQueuedSpinLock
b9e4cb90 806e6900 hal!KfReleaseSpinLock
b9e4cb94 806e699c hal!ExTryToAcquireFastMutex
b9e4cb98 806e6974 hal!ExReleaseFastMutex
b9e4cb9c 806e6aa0 hal!KeReleaseInStackQueuedSpinLock
b9e4cba0 806e6830 hal!KfAcquireSpinLock
b9e4cba4 00000000
b9e4cba8 b9ec3022 KSecDD!GenerateSessionKey
b9e4cbac b9ec2fdc KSecDD!EfsGenerateKey
b9e4cbb0 b9ec3002 KSecDD!GenerateDirEfs
b9e4cbb4 b9ec28f4 KSecDD!InitSecurityInterfaceW
b9e4cbb8 b9ec3012 KSecDD!EfsDecryptFek
b9e4cbbc 00000000
b9e4cbc0 8054705c nt!ExRaiseStatus
b9e4cbc4 804ec29a nt!FsRtlNormalizeNtstatus
b9e4cbc8 804e41b4 nt!CcFlushCache
b9e4cbcc 80535b9e nt!ExIsResourceAcquiredExclusiveLite
b9e4cbd0 8052e79c nt!RtlInitUnicodeString
b9e4cbd4 80546168 nt!InterlockedPopEntrySList
b9e4cbd8 8054618c nt!RtlpInterlockedPushEntrySList
b9e4cbdc 804f7e92 nt!KeQuerySystemTime
b9e4cbe0 80546210 nt!RtlCompareMemory
b9e4cbe4 8056d1b6 nt!FsRtlAreNamesEqual
b9e4cbe8 804eb004 nt!FsRtlCheckLockForWriteAccess

As yu may noticed, it lists not only functions regarding to ntoskrnl.exe , so it seems like Ntfs module contains exports to a few modules like hal.dll , KSecDD and ntoskrnl.exe. To ensure, we may use PEtools utility ( see screen below):

By the way, if you are too lazy to use windbg :-) you can use PEtools.

использование более чем 4Гб физической памяти на 32х битной системе

2010-10-20T01:27:00.000-07:00

Physical Address Extantion aka PAE.
Этот режим позволяет использовать боле 4Гбайт физической памяти ПК.
Однако стоить помнить что приложения могут адресовать макс 4Гб памяти виртуального адресного пространства.
Подробнее можете прочесть на официальном сайте Microsoft

Тут же поговорим как включить режим РАЕ .

XP, windows 2000: дописать в boot.ini: /pae
2003 server - PAE включен по умолчанию :-)
Vista, Win7: bcdedit /set {ID} pae ForceEnable

Force WinDbg to load symbols

2010-09-14T05:28:00.000-07:00

Currently WinDbg checks whether pdb's are from the same file you are debugging or not.
For cases when you have not corresponding pdb file but you'd like to see the callstack and so on you should use following WinDbg command:

.symopt 0x40

For more info about symbol options visit msdn .

Windbg 6.12.2.633 is included in WDK 7.1.0.

2010-03-03T06:09:00.000-08:00

It was a pity to read that WinDbg 6.12.2.633 is included only in WDK 7.1, so you can not download it separately without downloading WDK 7.1.0, can you?

But, let's back to the topic:
New in Windbg, as Microsoft says (visit WinDbg page ):

Several bug fixes in extensions to only use public symbols

General BugCheck Analysis Updates including:

•

Bug Check 0x9F Update – Added logic to diagnose bugcheck 0x9F minidumps using new data in Windows 7 added to the 0x9F minidumps by the Kernel and Networking Teams.
Data includes:
- All Kernel ExWorkerThreads that process Power IRPs
- IRPs Associated with any ExWorkerThread
- IRPs Associated with PnP Completion Queue
- All Kernel Power IRPs
- Device Stacks for all IRPS
- NT_TRIAGE_POWER Structure
- NT_TRIAGE_PNP structure

•

BugCheck 0xFE Update - Add logic to diagnose bugcheck 0xFE minidumps using new to Windows 7 callback data added by the USB team.

Fixed user-mode minidump generation problem.

Fixed buffer overrun in schannel transport.

Fixed several kernel debugger transport issues.

Fixed problem with debugger reporting incorrect FPO information.

Allowed stack dumps deeper than 65535 if specified explicitly.

Changed ".outmask /a" and ".outmask /d" to be set only instead of or/xor.

The old ADPlus.vbs is being replaced by ADPlus.exe which requires the .Net Framework 2.0. For those cases where the .Net Framework isn't available we are still shipping the older version renamed to adplus_old.vbs. For detailed documentation of the new ADPlus.exe as well as for its new companion ADPlusManager.exe please see adplus.doc located in the same folder as adplus.exe.

It'd be great if someone could tell me how to download only windbg 6.12.2.633 installation file without downloading a whole WDK 7.1.0 package .

Crash dump analysis checklist . ( © www.dumpanalysis.org )

2010-03-02T00:50:00.000-08:00

Here's a link contains useful steps in dump analysis.

http://www.dumpanalysis.org/blog/index.php/2007/06/20/crash-dump-analysis-checklist/

I've copied posts to my webpage.

all copyrights are by dumpanalysis.org :-)

General:

• Symbol servers (.symfix)
• Internal database(s) search
• Google or Microsoft search for suspected components as this could be a known issue. Sometimes a simple search immediately points to the fix on a vendor’s site
• The tool used to save a dump (to flag false positive, incomplete or inconsistent dumps)
• OS/SP version (version)
• Language
• Debug time
• System uptime
• Computer name (dS srv!srvcomputername or !envvar COMPUTERNAME)
• List of loaded and unloaded modules (lmv or !dlls)
• Hardware configuration (!sysinfo)
• .kframes 100

Application crash or hang:

• Default analysis (!analyze -v or !analyze -v -hang for hangs)
• Critical sections (!locks and !locks -v, !cs -s -l -o) for both crashes and hangs
• Component timestamps, duplication and paths. DLL Hell? (lmv and !dlls)
• Do any newer components exist?
• Process threads (~*kv or !uniqstack)
• Process uptime
• Your components on the full raw stack of the problem thread
• Your components on the full raw stack of the main application thread
• Process size
• Number of threads
• Gflags value (!gflag)
• Time consumed by thread (!runaway)
• Environment (!peb)
• Import table (!dh)
• Hooked functions (!chkimg)
• Exception handlers (!exchain)
• Computer name (!envvar COMPUTERNAME)

System hang:

• Default analysis (!analyze -v -hang)
• ERESOURCE contention (!locks)
• Processes and virtual memory including session space (!vm 4)
• Important services are present and not hanging (for example, terminal or IMA services for Citrix environments)
• Pools (!poolused)
• Waiting threads (!stacks)
• Critical system queues (!exqueue f)
• I/O (!irpfind)
• The list of all thread stack traces (!process 0 ff for W2K3/XP/Vista, ListProcessStacks script for W2K)
• LPC/ALPC chain for suspected threads (!lpc message or !alpc /m after search for “Waiting for reply to LPC” or “Waiting for reply to ALPC” in !process 0 ff output)
• Mutants (search for “Mutants - owning thread” in !process 0 ff output)
• Critical sections for suspected processes (!ntsdexts.locks, !cs -l -o -s)
• Sessions, session processes (!session, !sprocess)
• Processes (size, handle table size) (!process 0 0)
• Running threads (!running)
• Ready threads (!ready)
• DPC queues (!dpcs)
• The list of APCs (!apc)
• Internal queued spinlocks (!qlocks)
• Computer name (dS srv!srvcomputername)
• File cache, VACB (!filecache)

BSOD:

• Default analysis (!analyze -v)
• Pool address (!pool)
• Component timestamps (lmv)
• Processes and virtual memory (!vm 4)
• Current threads on other processors
• Raw stack
• Bugcheck description (including ln exception address for corrupt or truncated dumps)
• Bugcheck callback data (!bugdump for systems prior to Windows XP SP1)
• Bugcheck secondary callback data (.enumtag)
• Computer name (dS srv!srvcomputername)
• Hardware configuration (!sysinfo)

Driver Profilers ( профайлеры драйверов )

2010-03-01T02:40:00.000-08:00

Here's some link to read about driver profilers:

Profiler:
http://blogs.msdn.com/profiler/
http://msdn.microsoft.com/en-us/magazine/cc337887.aspx?pr=blog
http://blogs.msdn.com/colinth/archive/2007/05/07/basic-profiler-scenarios.aspx
http://developer.amd.com/cpu/codeanalyst/codeanalystwindows/Pages/default.aspx
http://www.intel.com/cd/software/products/asmo-na/eng/239144.htm
kernrate:
http://www.nynaeve.net/?p=45
KrView
http://www.microsoft.com/whdc/system/sysperf/krview.mspx

Интересные задачки

2010-01-28T05:58:00.000-08:00

интересные задачки ( ответы ниже) ( сайт - DeveloperGuru.net )

Тест на логическое мышление. Используйте только ту информацию, которая имеется в тексте вопроса, не полагайтесь на свой жизненный опыт.

1. Некоторые улитки являются горами. Все горы любят кошек.
Значит, все улитки любят кошек.
а) правильно
б) неправильно

2. Все крокодилы умеют летать. Все великаны являются крокодилами.
Значит, все великаны могут летать.
а) правильно
б) неправильно

3. Некоторые головки капусты - паровозы. Некоторые паровозы играют на рояле.
Значит, некоторые головки капусты играют на рояле.
a) правильно
б) неправильно

4. Две поляны никогда не похожи одна на другую. Сосны и ели выглядят совершенно одинаково.
Значит, сосны и ели не являются двумя полянами.
а) правильно
б) неправильно

5. Никто из людей не может стать президентом, если у него красный нос. У всех людей нос красный.
Значит, никто из людей не может стать президентом.
а) правильно
б) неправильно

6. Все вороны собирают картины. Некоторые собиратели картин сидят в птичьей клетке.
Значит, некоторые вороны сидят в птичьей клетке.
a) правильно
б) неправильно

7. Только плохие люди обманывают или крадут. Катя - хорошая.
а) Катя обманывает
б) Катя крадет
в) Катя не крадет
г) Катя обманывает и крадет
д) ни одно из вышеперечисленных

8. Все воробьи не умеют летать. У всех воробьев есть ноги.
а) без ног воробьи не могут летать
б) некоторые воробьи не имеют ног
в) все воробьи, у которых есть ноги, не могут летать
г) воробьи не могут летать, потому что у них есть ноги
д) воробьи не могут летать и у них нет ног
е) ни одно из вышеперечисленных

9. Некоторые люди - европейцы. Европейцы имеют три ноги.
а) люди с двумя ногами не являются европейцами
б) европейцы, которые являются людьми, иногда имеют три ноги
в) европейцы с двумя ногами иногда являются людьми
г)Людей не европейцев, с тремя ногами не бывает
д)Люди имеют три ноги потому что они европейцы
е)ни одно из вышеперечисленных

10. Цветы - это зеленые звери. Цветы пьют водку.
а) все зеленые звери пьют водку
б) все зеленые звери являются цветами
в) некоторые зеленые звери пьют водку
г) Зеленые звери не пьют водку
д) зеленые звери не являются цветами
е)ни одно из вышеперечисленных

11. Каждый квадрат круглый. Все квадраты красные.
а) бывают квадраты с красными углами
б) бывают квадраты с круглыми углами
в) бывают круглые красные углы
г) углы и квадраты - круглые и красные
д) ни одно из вышеперечисленных

12. Хорошие начальники падают с неба. Плохие начальники могут петь.
а) Плохие начальники летят с неба вниз.
б) Хорошие начальники, которые умеют летать - могут петь.
в) некоторые плохие начальники не могут петь.
г) некоторые хорошие начальники -плохие, так как они умеют петь.
д) ни одно из вышеперечисленных

Правильные ответы:
1б
2а
3б
4а
5а
6б
7в
8в
9а
10в
11д
12д

Thunderbird 3 memory leak

2010-01-26T14:00:00.000-08:00

After 2 days of using Thunderbird 3.0.1 I've found a memory leak, and posted a bug to mozilla.org. So, if you also has the same visit Thunderbird 3 Memory Drainer ? to see what exactly problem do you have.
At least, you can add an additional info to bug I've posted - Thunderbird 3 - memory laeks, all add-ons are disabled

It was a really sad to experience such bug in one of my favourite mail client.
I hope, developers will fix it soon.

What is IRQL and why is it important?

2010-01-26T13:50:00.000-08:00

What is IRQL and why is it important?: "

When people first hear the term IRQL (pronounced Er-kel) their thoughts sometimes turn to the sitcom "Family Matters" and Jaleel White's alter ego, Steve Urkel. However, we're not going to be taking a trip down Television's Memory Lane today. Instead we're going to talk about Interrupt Request Levels - aka IRQL's. If you develop device drivers or spend a lot of time debugging, IRQL's are familiar territory for you. An interrupt request level (IRQL) defines the hardware priority at which a processor operates at any given time. In the Windows Driver Model, a thread running at a low IRQL can be interrupted to run code at a higher IRQL. The number of IRQL's and their specific values are processor-dependent.

Processes running at a higher IRQL will pre-empt a thread or interrupt running at a lower IRQL. An IRQL of 0 means that the processor is running a normal Kernel or User mode process. An IRQL of 1 means that the processor is running an Asynchronous Procedure Call (APC) or Page Fault. IRQL 2 is used for deferred procedure calls (DPC) and thread scheduling. IRQL 2 is known as the DISPATCH_LEVEL. When a processor is running at a given IRQL, interrupts at that IRQL and lower are blocked by the processor. Therefore, a processor currently at DISPATCH_LEVEL can only be interrupted by a request from an IRQL greater than 2. A system will schedule all threads to run at IRQL's below DISPATCH_LEVEL - this level is also where the thread scheduler itself will run. So if there is a thread that has an IRQL greater than 2, that thread will have exclusive use of the processor. Since the scheduler runs at DISPATCH_LEVEL, and that interrupt level is now blocked off by the thread at a higher IRQL, the thread scheduler cannot run and schedule any other thread. So far, this is pretty straightforward - especially when we're talking about a single processor system.

On a multi-processor system, things get a little complicated. Since each processor can be running at a different IRQL, you could have a situation where one processor is running a driver routine (Device Interrupt Level - aka DIRQL), while another processor is running driver code at IRQL 0. Since more than one thread could attempt to access shared data at the same time, drivers should protect the shared data by using some method of synchronization. Drivers should use a lock that raises the IRQL to the highest level at which any code that could access the data can run. We're not going to get too much into Locks and Deadlocks here, but for the sake of our discussion, an example would be a driver using a spin lock to protect data accessible at DISPATCH_LEVEL. On a single processor system, raising the IRQL to DISPATCH_LEVEL or higher would have the same effect, because the raising of the IRQL prevents the interruption of the code currently executing.

That will actually wrap it up for this post. It's a fairly short post, but hopefully you now have a basic understanding of IRQL. Until next time ...

Additional Resources:

MSDN: Whitepaper on Scheduling, Thread Context & IRQL

- CC Hameed

Share this post :

BHO's, Security and Shell Extensions

2010-01-26T13:49:00.001-08:00

BHO's, Security and Shell Extensions: "

Today we're going to wrap up our overview of Browser Helper Objects with a look at BHO's and Security as well as similarities between BHO's and Shell Extensions. If you recall from our first post on BHO's, a BHO is an extension to Internet Explorer that adds customization and functionality. The API's used by Browser Helper objects expose hooks that allow them to access the Document Object Model (DOM) of the current page and to control navigation. This leads to malware applications that have been created as Browser Helper Objects.

For example, the Download.ject exploit installed a BHO that would activate upon detecting a secure HTTP connection to a financial institution, record the user's keystrokes (intending to capture passwords) and transmit the information to a website used by Russian computer criminals. Other BHOs such as the MyWay Searchbar track users' browsing patterns and pass the information they record to third parties. Although many BHO's install toolbars in Internet Explorer, there is no requirement that a BHO have a user interface. Therefore it is possible that a user may not know that they have a malicious BHO installed on an unprotected machine.

Since a BHO does not need permission to install additional components, malicious programs and spyware may be spread without the user's knowledge. Since writing a BHO is fairly simple, many poorly written BHO's may harm the computer, compromise its security and may even destroy valuable data or corrupt system files. That having been said, there are many good anti-spyware programs available that will monitor a computer for suspicious or harmful activity including BHO activity. You can also use the Add-On manager in Internet Explorer to list which BHO's are installed and enable or disable BHO's as needed.

Let's now move on to take a look at commonalities BHO's and Shell Extensions. Windows shell extensions are COM in-process servers that Windows Explorer loads when it is about to perform a certain action on a document - for example, displaying the context menu. By writing a COM module that implements a few COM interfaces, it is possible to add new items to the context menu and then handle them properly. A shell extension must also be registered in such a way that Windows Explorer can find it. A Browser Helper Object follows the same pattern - the difference being which interfaces to implement. Also, there is a difference in the trigger that causes a BHO to be loaded. Despite the implementation differences, however, shell extensions and BHO's share a common nature, as the following table demonstrates.

Feature	Shell Extension	Browser Helper Object
Loaded By	Windows Explorer	Internet Explorer (and Windows Explorer for shell version 4.71 and later)
Triggered By	User's action on a document of a certain class (that is, right-click)	Opening of the browser's window
Unloaded When	A few seconds later the reference count goes to 0	The browser window that caused it to load gets closed
Implemented as	COM in-process DLL	COM in-process DLL
Registration requirements	Usual entries for a COM server plus other entries, depending on the type of shell extension and the document type that it will apply to	Usual entries for a COM server plus one entry to qualify it as a BHO
Interfaces needed	Depends on the type of the shell extension	IObjectWithSite

Windows Explorer for shell version 4.71 and above includes Windows 95 and Windows NT 4.0 with Internet Explorer 4.0 with the Active Desktop Shell update release.

And that will do it for our overview of BHO's, Security and Shell Extensions. Until next time ...

Additional Resources:

- CC Hameed

human resources / Собеседование — фундаментальные принципы

2010-01-26T13:49:00.000-08:00

Очень даже интересная статья, думаю некоторые найдут в ней немного полезного.

human resources / Собеседование — фундаментальные принципы: "Извиняюсь если кому-то это покажется тривиальным. Но примеры пройденных мной собеседований, которые оказывались самой сложной задачей за время работы в фирме (я не шучу), или звонки от HR-ов через месяц-другой после отсылки резюме доказывают — большинству HR-ов и технических интервьюеров эти принципы неизвестны или непонятны. Кадровики жалуются на нехватку профессионалов, на неприязнь со стороны соискателей, и не понимают что ответ прост — их процесс отбора сотрудников в корне неправилен.

Поэтому позволю себе напомнить общественности про эти принципы. Надеюсь, после этого число сторонников светлой стороны Силы хоть немного увеличится ;)

Читать дальше →

Google Chrome / Chrome 4.0 Stable

2010-01-26T13:47:00.000-08:00

Google Chrome / Chrome 4.0 Stable: "

Только что в блоге разработчиков Google сообщили, что выпущена 4я стабильная версия браузера.

Скачать online-установщик (пока только Windows — версия)

Версия 4.0 содержит:

Расширения (пожалуй, главное нововведение)

Синхронизация закладок

Расширенные инструменты для разработчиков

HTML5: Уведомления, веб базы данных, веб-сокеты, поддержка Ruby

Улучшение производительности v8

Улучшение производительности графической библиотеки Skia

Полное прохождение ACID3 теста благодаря вновь добавленной поддержке загружаемых шрифтов.

Еще безопаснее (множество исправлений + новые механизмы безопасности)

Влад Балин ( ака Gaperton ) - peopleware

2010-01-26T06:28:00.000-08:00

Думаю что каждый менеджер его должен прочесть.

Практическое peopleware.
Очень интересные подходы к решению проблем. В целом - задача - сводится к решению проблемы, которую, благодаря 2-м видам подхода, можно задать по разному (и именно от этого будет зависеть ее дальнейшее решение и отношения между сотрудниками ).
В общем, советуется, как правильно ставить задачи персоналу. Рассматривается два вида тактик : Auftragstaktik и Befehlstaktik ( последняя не сильно расписсана правда).

Советую прочесть, а еще лучше - сходить на его семинар :-)

P.S. Большое спасибо Владу за такой полезный материал.

Коды Bugcheck

2009-11-17T06:29:00.000-08:00

Иногда при отладке у вас бсод, к нему, как говорится, прилагается BugCheck.
вот именно в этом "багчеке" есть определенные коды вылета системы. что поможет вам в анализе дампа, т.к. не всегда получается то что хотите.

Само описание всех багчеков доступно на msdn -

Надеюсь, поможет в будующей работе. :-)

VirtualKD. Ускоряем генерацию дампа в DbgView.

2009-11-16T14:08:00.000-08:00

если что-то давало БСОД и вам надо было сделать ПОЛНЫЙ дамп, ( команда ./dump /f ), то его генерация могла занять мнооого времени....
Эти и многие другие проблемы решает утилита VirtualKD.
Скачать ее можно с этого сайта . Пользуйтесь!
Пишут что она поддерживает Vmware + VirtualBox.
у меня сейчас последняя версия workstation (6.5.3), и работает вроде как стабильно, правда WinDbg пришлось вручную запукать для отладки по пайпу ) .
ЗЫ. правда поначалу чтобы поставить утилитку придется ~~помучать~~ прочитать что и как установить ;)

куда делся вывод логов драйвера в Vista / Windows 7 через WinDbg ?

2009-11-16T00:18:00.000-08:00

Вот недавно столкнулся с проблемой...
На чековой семерке в WinDbg не могу просмотреть вывод лога тестируемого драйвера.
1 способ
После некоторых опросов знакомых программистов, выяснилось, что это все решается в реестре.

Open up the registry and go to this path,
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter"
and add the following value "DEFAULT" : REG_DWORD : 0xFFFFFFFF and then reboot

Вот и все...
Надеюсь, что это кому-то поможет . :)

2 способ
просто во время удаленной отладки вводим команду

ed nt!KD_DEFAULT_MASK 0xFFFFFFFF

Просмотр PEB процесса

2009-10-29T16:06:00.000-07:00

Итак, все что нам нужно
1. Узнать адрес процесса !process 0 0
2. Перейти в контекст процесса .process

3. Display PEB : !peb

Ниже пример:

kd> !process 0 0
..........................................................................................................................

PROCESS 89a377a8 SessionId: 0 Cid: 07c8    Peb: 7ffdb000 ParentCid: 041c
    DirBase: 52ddc000 ObjectTable: e17023d8 HandleCount: 534.
    Image: KMPlayer.exe

..........................................................................................................................
kd> .process 89a377a8
Implicit process is now 89a377a8
kd> !peb
PEB at 7ffdb000
    InheritedAddressSpace:    No
    ReadImageFileExecOptions: No
    BeingDebugged:            No
    ImageBaseAddress:         00400000
    Ldr                       00251e90
    Ldr.Initialized:          Yes
    Ldr.InInitializationOrderModuleList: 00251f28 . 002549f0
    Ldr.InLoadOrderModuleList:           00251ec0 . 002549e0
    Ldr.InMemoryOrderModuleList:         00251ec8 . 002549e8
            Base TimeStamp                     Module
          400000 2a425e19 Jun 20 01:22:17 1992 C:\PROGRA~1\THEKMP~1\KMPlayer.exe
        7c900000 49900b58 Feb 09 12:54:16 2009 C:\WINDOWS\system32\ntdll.dll
        7c800000 49c4f502 Mar 21 16:09:06 2009 C:\WINDOWS\system32\kernel32.dll
        7e360000 480381e1 Apr 14 19:10:09 2008 C:\WINDOWS\system32\user32.dll
        77f10000 49007130 Oct 23 15:42:24 2008 C:\WINDOWS\system32\GDI32.dll
        77dc0000 49900b58 Feb 09 12:54:16 2009 C:\WINDOWS\system32\advapi32.dll
        77e70000 49e5f504 Apr 15 17:53:56 2009 C:\WINDOWS\system32\RPCRT4.dll
        77fe0000 4a4334e7 Jun 25 11:27:19 2009 C:\WINDOWS\system32\Secur32.dll
        77110000 480381dc Apr 14 19:10:04 2008 C:\WINDOWS\system32\oleaut32.dll

................................. куча букав ................................................

В общем, еще одно замечание. после выполнения .process вы в контексте ТОЛЬКО данного процесса, теперь надо бы вернуться обратно, т.е. надо перейти на контекст процесса System.

Вот, пожалуй, и все.

P.S. кстати, сравнивая выводы PEB & VAD можно кое-что интересное обнаружить.

Посматриваем таблицу Shadow SSDT (win32k.sys)

2009-10-29T07:48:00.000-07:00

Итак, долго мучался, нашел :)
Для просмотра этой таблицы, выведем все таблицы которые есть в KeServiceDescriptorTableShadow

0: kd> dds KeServiceDescriptorTableShadow

8055c6c0 80504460 nt!KiServiceTable

8055c6c4 00000000

8055c6c8 0000011c

8055c6cc 805048d4 nt!KiArgumentTable

8055c6d0 bf99a000 win32k!W32pServiceTable - то что нам нужно

8055c6d4 00000000

8055c6d8 0000029b

8055c6dc bf99ad10 win32k!W32pArgumentTable

8055c6e0 00000000

8055c6e4 00000000

8055c6e8 00000000

8055c6ec 00000000

8055c6f0 00000000

8055c6f4 00000000

8055c6f8 00000000

8055c6fc 00000000

8055c700 80504460 nt!KiServiceTable

8055c704 00000000

8055c708 0000011c

8055c70c 805048d4 nt!KiArgumentTable

Теперь, просто можем просмотреть таблицу
либо заюзав dd W32pServiceTable и потом шагами смотреть каждый индекс (см. пред заметку), либо сразу вывести табличку dds W32pServiceTable L29A

просматриваем таблицу KiServiceTable

2009-10-29T03:50:00.000-07:00

Итак, все объяснения добавлю позже. О том что такое SSDT и т.п. можете почитать на WASMе , а также почитать Статью

Команды LiveKD:

//display table:
dd KeServiceDescriptorTable

Индекс KiServiceTable=KeServiceTable[0], т.е. первый адрес в KeServiceTable.
И еще, в системе есть также и KeServiceDescriptorTableShadow - та самая копия, так вот, по идее, если все гуд . то индекс KiSErviceTable=KeServiceDescriptorTableShadow[0] и он равен индексу который в KeServiceDescriptorTable, тобиж, из примера ниже, если все делать, оба индекса должны быть равны 80504460.

0: kd> dd KeServiceDescriptorTable

8055c700 80504460 00000000 0000011c 805048d4 - красным цветом - индекс KiServiceTable

8055c710 00000000 00000000 00000000 00000000

8055c720 00000000 00000000 00000000 00000000

8055c730 00000000 00000000 00000000 00000000

8055c740 00000002 00002710 bf80c339 00000000

8055c750 ba5a7a80 8ad5fcf0 8a391a90 806f60c0

8055c760 00000000 00000000 ffeced30 ffffffff

8055c770 7f4c8370 01ca5871 00000000 00000000

Далее,

0: kd> dd 80504460

80504460 805a4614 805f0aea 805f4320 805f0b1c

80504470 805f435a 805f0b52 805f439e 805f43e2

80504480 806153ce 80616110 805ebee8 b5e58d46

80504490 805d4b48 805d4af8 806159f4 805b5f80

805044a0 80615010 805a8a9e 805b0594 805d660c

805044b0 8050189c 80616102 80576ae6 80538be2

805044c0 8060e5de 805bc4fa 805f485a 80623382

805044d0 805f8d6a 805a4d02 806235d6 b5e58250

Этот вывод содержит указатели на системные сервисы, такие как NtCreateFile etc.

Чтобы просмотреть системный сервис с определенным индексом делаем так:
dd 80504460+(индекс)*4

0: kd> dd 80504460+1c*4 // 1с - индекс ф-и
805044d0 805f8d6a 805a4d02 806235d6 b5e58250 // - указатель на ф-ю

чтобы просмотреть имя и название ф-и, достаточно сделать так:

0: kd> dt 805f8d6a

NtCompareTokens // конечное имя ф-и, которая имеет индекс 0х1С в таблице сервисов

Да, мои читатели, спросите вы меня.. неужели теперь надо делать так много шагов и действий ? Нет, чтобы просмотреть все таблицу KiServiceTable, достаточно просто указать команду:

dds KiServiceTable L117

и эта команда вам выведет все 279 индексов (дада, 0x117h = 279 ), если хотите вывести больше - измените 117 на любое число )

Полезности при работе с LiveKD

2009-10-28T01:56:00.000-07:00

Итак, постараюсь обновлять эту тему как можно чаще, так как иногда при тестировании драйверов нужно юзать отладчик режима ядра.

1. Чтобы отладчик выводил логи, можно использовать команду .logopen
2. Чтобы просмотреть сервисы, на которых стоят хуки, надо просмотреть таблицу KiServiceTable, делается это командой dds KiServiceTable L130
3. Чтобы просмотреть информацию о процессах, сущестувет команда !process 0 0 - она выводит все процессы. такая же команда с параметром 1 выведет краткую инфу о процессе, которая будет включать DirBase, которая понадобится для перехода в контекст процесса ( .context ), также можно просмотреть PEB процесса, VAD etc.
Поговорим подробнее о просмотре дерева VAD
1. получим инфу, где находится Vad в процессе firefox.exe

0: kd> !process 8a3758a8 1
PROCESS 8a3758a8 SessionId: 0 Cid: 06c8    Peb: 7ffdf000 ParentCid: 0288
    DirBase: 0b3c81c0 ObjectTable: e3721438 HandleCount: 1257.
    Image: firefox.exe
    VadRoot 8a0cac38 Vads 613 Clone 0 Private 27256. Modified 19445. Locked 0.

Далее, используем команду !vad отладчика ядра:

0: kd> !vad 8a0cac38
VAD     level      start      end    commit
8a2540a8 (16)         10       10         1 Private      READWRITE
8a241b80 (17)         20       20         1 Private      READWRITE
8a23cc98 (15)         30      12f        52 Private      READWRITE
8a175f08 (17)        130      132         0 Mapped       READONLY
8a254600 (16)        140      141         0 Mapped       READONLY
8a393850 (18)        150      18f        64 Private      READWRITE
8a141910 (17)        190      19f         7 Private      READWRITE
89f98d98 (19)        1a0      1af         0 Mapped       READWRITE
8a144bc8 (18)        1b0      1c5         0 Mapped       READONLY
8a1d8fb0 (20)        1d0      210         0 Mapped       READONLY
8a1a3eb8 (19)        220      260         0 Mapped       READONLY
8a1dafd8 (21)        270      275         0 Mapped       READONLY
8a0e6910 (20)        280      2eb        96 Mapped Exe EXECUTE_WRITECOPY
8a2cb270 (21)        2f0      3d3       213 Mapped Exe EXECUTE_WRITECOPY
8a27e630 (22)        3e0      3f7        18 Mapped Exe EXECUTE_WRITECOPY

Обратим внимание на адреса с Execute_writecopy:

0: kd> !vad 8a0e6910 1

VAD @ 8a0e6910
Start VPN          280 End VPN      2eb Control Area 8a211ca0
FirstProtoPte e1486460 LastPte fffffffc Commit Charge       60 (96.)
Secured.Flink        0 Blink          0 Banked/Extend        0
File Offset          0
      ImageMap ViewShare EXECUTE_WRITECOPY

ControlArea @ 8a211ca0
Segment      e1486420 Flink      00000000 Blink        00000000
Section Ref         0 Pfn Ref          6a Mapped Views        1
User Ref            1 WaitForDel        0 Flush Count         0
File Object 8a36fd78 ModWriteCount     0 System Views        0

Flags (90000a0) Image File HadUserReference Accessed

      File: \Program Files\Mozilla Firefox\sqlite3.dll

Segment @ e1486420
......................................................................

Reload command: .reload sqlite3.dll=280000,6c000

Как видим, там содержится модуль sqlite3.dll

Чтобы просмотреть, что именно содержится по адресу StartVPN есть замечательные команды , !dd!da, !du, !dc. Если вы заметили, то при еще при выводе !vad 8a0cac38, у нас выводятся StartVPN & EndVPN адреса. Так что можно смело писать !dc addr>*0x1000

Что самое интересное, командой dс 280*1000 невозможно просмотреть что находится по этому адресу, точнее выдается инфа, но не та. Для этого, нужно переключиться в комнтекст данного процесса, как пишет MSDN, юзаем команду .process 8a3758a8 , далее - смотрим dc 280*1000 и убеждаемся, что там находится на 1-й строчке сигнатура РЕ файла - 'MZ'.... вот для меня только вопрос.. как выйти из контекста ? Об этом и PEB - в следующей статье )

Мой первый блог

2009-10-27T04:37:00.000-07:00

Привет всем, кто сейчас читает этот блог .
В этом блоге постараюсь оставлять нужную информацию, которая требуется для тестирования программ.