SoloCodigo

Tengo un problema hookeando la ZwDeleteFile, e escrito un modulo de kernel basandome en ejemplos que encontre por la red y el codigo me hookea bien, ya que verificandolo con un "visor de SSDT" veo que si me hookea la dirección correctamente. El problema es que cuando llamo a la DeleteFile desde Ring3 no se llama a mi función, y no encuentro explicacion a eso.

La direcciónes me las da correctamente, y se hookea bien, pero a la hora de llamar a DeleteFile nunca aparece el emnsage de Me llaman por la pantalla del DebugView....alguna idea???  

Un Saludo.

EI: saco el codigo, no es necesario y no quiero que prolifere.

Vaya, creia que DeleteFile llamaba directamente a ZwDeleteFile  

Tu como desensamblas las APIS a Ring3??? Olly o con el Windbg???

Muchas gracias Eternal

Como trabajo principalmente en modo Kernel el Ollydbg no me serviria asi que uso el WinDbg siempre (ademas es mucho mas potente)  

Cierto, aunque para Ring3 el olly sirve, es que tengo mucha mas experiencia en el Olly que en el Windbg, y se que es mas potente, pero me cuesta adaptarme xDDD

Por cierto, para desensamblar es: u <api> en el Windbg, no???

Me da lo siguiente :S


lkd> u Kernel32!DeleteFileA
Couldn't resolve error at 'Kernel32!DeleteFileA'

Entonces donde voy????

PD: Ya te dije que no me adapto muy bien al Windbg todavia :S

Ahora si....muchas gracias Eternal