Saber q api's usa el task manager

[Eternal Idol]

Eternal Idol, a riesgo de meter la pata, NtQuerySystemInformation es una api para
ser usada desde el kernel?

El que corre el riesgo  Si hubieras abierto el WinDbg y hecho lo que comentaba al principio sabrias que es posible modificar esta funcion manualmente incluso.

por q yo en mi msdn no la veo, ademas por google vi esto:

Esta indocumentada como casi toda la NTDLL (DLL de modo Usuario).

http://undocumented.ntinternals.net/

De ser para kernel tendré q seguir buscando ya  q estoy hookeando en ring 3...

Mira mi mensaje anterior:

ntdll!ZwQuerySystemInformation:
7c90e1aa b8220000c0      mov     eax,0C0000022h
7c90e1af c21000          ret     10h

En modo Usuario ZwQuerySystemInformation y NtQuerySystemInformation son la misma direccion (una es alias de la otra). Y lo que hacen es pasar a modo Kernel donde la nt!NtQuerySystemInformation se encargara de retornar los valores que como bien dice lo que citas solo estan disponibles (DIRECTAMENTE) en modo Kernel.

[~~]

En modo Usuario ZwQuerySystemInformation y NtQuerySystemInformation son la misma direccion (una es alias de la otra). Y lo que hacen es pasar a modo Kernel donde la nt!NtQuerySystemInformation se encargara de retornar los valores que como bien dice lo que citas solo estan disponibles (DIRECTAMENTE) en modo Kernel.

Aaaaaaaaaaaaaaaaaaaamm vale ok ok ahora entiendo, pues muchas gracias, a ver si saco un rato y consigo hookear esta api

Gracias

[~~]

Weno, q ya hookee la api (aunke aun no ocultado los procesos ) q solo pongo este post para confirmar q esa es la api, y para dar las gracias 

Saludos

[Eternal Idol]

Weno, q ya hookee la api (aunke aun no ocultado los procesos ) q solo pongo este post para confirmar q esa es la api, y para dar las gracias 

Saludos

De nadas