{"id":466593,"date":"2025-07-09T21:00:25","date_gmt":"2025-07-09T21:00:25","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=466593"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=466593","title":{"rendered":"<span>\u0410\u043d\u0430\u043b\u0438\u0437 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE-2025-27736 \u0432 Power Dependency Coordinator<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u0431\u0430\u0433\u0443 \u0432 Power Dependency Coordinator (CVE-2025-27736), \u0437\u0430\u043f\u0430\u0442\u0447\u0435\u043d\u043d\u043e\u043c\u0443 Microsoft \u0432 \u0430\u043f\u0440\u0435\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0433\u043e\u0434\u0430.<\/p>\n<p><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-27736\" rel=\"noopener noreferrer nofollow\">\u0412 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0438 CVE<\/a> \u0441\u043a\u0430\u0437\u0430\u043d\u043e, \u0447\u0442\u043e \u0431\u0430\u0433 \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 (\u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u044f\u0434\u0440\u0430).<\/p>\n<p><em>Exposure of sensitive information to an unauthorized actor in Windows Power Dependency Coordinator allows an authorized attacker to disclose information locally.<\/em><\/p>\n<p><a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2025-27736\" rel=\"noopener noreferrer nofollow\">https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2025-27736<\/a><\/p>\n<p><em>Exploiting this vulnerability could allow the disclosure of <\/em><strong><em>certain memory address within kernel space<\/em><\/strong><em>. Knowing the exact location of kernel memory could be potentially leveraged by an attacker for other malicious activities.<\/em><\/p>\n<p>\u0412 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 Windows 11 24H2 \u0441 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435\u043c NtQuerySystemInformation \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432, \u0431\u0430\u0433\u0438 \u0442\u0430\u043a\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f \u0435\u0449\u0435 \u0431\u043e\u043b\u0435\u0435 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043d\u0435 \u0441\u0442\u0430\u043b\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u0440 \u0442\u0430\u043a\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.<\/p>\n<p>\u0418\u0437 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u044e\u0442\u0441\u044f IDA Pro, BinDiff, WinDbg, \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f &#8212; Windows 11 \u0438\u043b\u0438 Windows 10 x64 \u0441 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e \u0430\u043f\u0440\u0435\u043b\u044f 2025 (\u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u043e\u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u0438 PoC) \u0438 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f\u043c\u0438 (\u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f PoC \u043f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f).<\/p>\n<h4>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 Power Dependency Coordinator?<\/h4>\n<p>Power Dependency Coordinator (pdc.sys) \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043f\u0438\u0442\u0430\u043d\u0438\u0435\u043c \u0438 \u043e\u043d \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c \u0431\u044b\u0441\u0442\u0440\u043e \u0432\u044b\u0445\u043e\u0434\u0438\u0442\u044c \u0438\u0437 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u0441\u043d\u0430. \u041e\u043d \u043f\u043e\u044f\u0432\u0438\u043b\u0441\u044f \u0432 Windows 8.0.<\/p>\n<p>\u041f\u0440\u043e \u044d\u0442\u043e\u0442 \u0434\u0440\u0430\u0439\u0432\u0435\u0440 \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432\u043e \u0412\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u043c \u0423c\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435 Windows \u0435\u0441\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0435 \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u0432 \u0433\u043b\u0430\u0432\u0435, \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u043d\u043e\u0439 ALPC. \u0422\u0430\u043c \u0441\u043a\u0430\u0437\u0430\u043d\u043e, \u0447\u0442\u043e pdc.sys \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 callback \u0434\u043b\u044f \u0441\u0432\u044f\u0437\u0438 \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c\u0438 \u043f\u043e ALPC, \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u043c\u044b \u044d\u0442\u043e \u0443\u0432\u0438\u0434\u0438\u043c \u043f\u0440\u0438 \u0440\u0435\u0432\u0435\u0440\u0441\u0435 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430.<\/p>\n<h4>\u0410\u043d\u0430\u043b\u0438\u0437 \u043f\u0430\u0442\u0447\u0430<\/h4>\n<p>\u041a\u0430\u043a \u0443\u0436\u0435 \u0431\u044b\u043b\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0440\u0430\u043d\u0435\u0435, Power Dependency Coordinator \u2013 \u044d\u0442\u043e \u0434\u0440\u0430\u0439\u0432\u0435\u0440 pdc.sys<\/p>\n<p>\u0421\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0434\u0432\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430 \u0441<\/p>\n<p><a href=\"https:\/\/winbindex.m417z.com\/\" rel=\"noopener noreferrer nofollow\">https:\/\/winbindex.m417z.com\/<\/a><\/p>\n<p>\u0438 \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0430\u0435\u043c \u043a \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u043f\u0430\u0442\u0447\u0430.<\/p>\n<p>\u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u0432\u0435\u0440\u0441\u0438\u044e pdc.sys \u0434\u043e \u0430\u043f\u0440\u0435\u043b\u044f 2025 \u0438 \u0430\u043f\u0440\u0435\u043b\u044c\u0441\u043a\u0443\u044e.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f BinDiff \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u0438 \u043e\u043d\u0438 \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0441\u0432\u044f\u0437\u0430\u043d\u044b \u0441 \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0435\u0439<\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/97b\/a2e\/e25\/97ba2ee25caa1bec4e663fdcf77c4b4a.PNG\" alt=\"\u0421\u043f\u0438\u0441\u043e\u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 pdc.sys\" title=\"\u0421\u043f\u0438\u0441\u043e\u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 pdc.sys\" width=\"1609\" height=\"321\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/97b\/a2e\/e25\/97ba2ee25caa1bec4e663fdcf77c4b4a.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/97b\/a2e\/e25\/97ba2ee25caa1bec4e663fdcf77c4b4a.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0421\u043f\u0438\u0441\u043e\u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 pdc.sys<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u0441\u0435\u0433\u043e 7 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439.<\/p>\n<p>PdcpV2SendCallbackMessage<br \/>PdcpV2Deactivation<br \/>PdcpV2Renew<br \/>PdcpV2Activation<br \/>PdcpCompleteResiliencyOperation<br \/>PdcpCreateActivationInstance<br \/>PdcActivatorInitialize<\/p>\n<p>\u0412 \u0441\u0442\u0430\u0442\u044c\u0435 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0442\u0435\u0440\u043c\u0438\u043d\u044b \u00ab\u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u044f\u00bb \u0438 \u00abresiliency\u00bb. \u0417\u0434\u0435\u0441\u044c \u044f \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u0443\u044e\u0441\u044c \u043d\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 pdc \u0438 \u0435\u0433\u043e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440, \u0432\u0430\u0436\u043d\u044b\u0445 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, PdcpV2Activation \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0438\u043c\u0435\u043d\u0438 Activation, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0435\u0439. PdcpV2Renew \u0442\u043e\u0436\u0435 \u043f\u043e\u0434\u0440\u0430\u0437\u0443\u043c\u0435\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438, \u0442\u0430\u043a \u043a\u0430\u043a \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcV2ActivatorReceive.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Activation, PdcpV2Renew, PdcpV2Deactivation, \u0442\u043e \u043f\u043e \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0431\u044b\u0441\u0442\u0440\u043e \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f PdcProcessMessage, \u044d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 PdcpAlpcProcessMessages, \u0430 PdcpAlpcProcessMessages, \u0432 \u0441\u0432\u043e\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u0438\u0437 PdcMessageCallback. \u0414\u0440\u0443\u0433\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0442\u0430\u043a\u0436\u0435 \u0434\u043e\u0441\u0442\u0438\u0436\u0438\u043c\u044b \u0447\u0435\u0440\u0435\u0437 PdcMessageCallback.<br \/>PdcMessageCallback \u2014 \u044d\u0442\u043e callback, \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 ALPC \u043f\u043e\u0440\u0442\u0443 \u0447\u0435\u0440\u0435\u0437 ZwAlpcSetInformation. \u0418\u0437 \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u0430\u0442\u0447\u0430 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0431\u0443\u0434\u0435\u0442 \u0438\u043c\u0435\u0442\u044c \u0434\u0435\u043b\u043e \u0441 ALPC, \u0447\u0442\u043e\u0431\u044b \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438. \u0412 \u0441\u0432\u044f\u0437\u0438 \u0441 \u044d\u0442\u0438\u043c, \u043d\u0438\u0436\u0435 \u0431\u0443\u0434\u0435\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0439 \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u0431 ALPC \u0438 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0432 PDC.<\/p>\n<h4>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 ALPC?<\/h4>\n<p>ALPC (Advanced Local Procedure Call) &#8212; \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u043c\u0435\u0436\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043d\u043e\u0433\u043e \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f (IPC). \u042d\u0442\u043e \u043e\u0434\u0438\u043d \u0438\u0437 \u0431\u0430\u0437\u043e\u0432\u044b\u0445 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 Windows \u0438 \u043c\u043d\u043e\u0433\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 ALPC \u0434\u043b\u044f \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 RPC, csrss, lsass \u0438 \u0434\u0440\u0443\u0433\u0438\u0435).<\/p>\n<p>\u0412\u043e\u043e\u0431\u0449\u0435, ALPC &#8212; \u043d\u0435\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0438 Microsoft \u043d\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0438 \u043d\u0435 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u044b\u0441\u043e\u043a\u043e\u0443\u0440\u043e\u0432\u043d\u0435\u0432\u044b\u0445 API, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 ntdll.<\/p>\n<p>\u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u043f\u043e\u043d\u044f\u0442\u0438\u044f ALPC:<\/p>\n<ol>\n<li>\n<p>ALPC \u043f\u043e\u0440\u0442 &#8212; \u044d\u0442\u043e \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 Windows (\u043a\u0430\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u043f\u043e\u0442\u043e\u043a, event). ALPC \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d \u043f\u043e \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0443 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440. \u0421\u0435\u0440\u0432\u0435\u0440 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 ALPC \u043f\u043e\u0440\u0442, \u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u044b \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u0440\u0442\u0443 \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f\u043c\u0438. ALPC \u043f\u043e\u0440\u0442 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcCreatePort, \u043a\u043b\u0438\u0435\u043d\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043a \u043f\u043e\u0440\u0442\u0443 \u0447\u0435\u0440\u0435\u0437 NtAlpcConnectPort.<br \/>\u0421\u0435\u0440\u0432\u0435\u0440 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u044f\u0442\u044c \u0438\u043b\u0438 \u043e\u0442\u043a\u043b\u043e\u043d\u0438\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcAcceptConnectPort.<\/p>\n<\/li>\n<li>\n<p>ALPC \u043f\u043e\u0440\u0442\u044b \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b \u043d\u0430 \u0442\u0440\u0438 \u0442\u0438\u043f\u0430. \u041f\u0435\u0440\u0432\u044b\u0439 \u2014 Connection Port, \u043e\u043d \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c (NtAlpcCreatePort) \u0438 \u043a \u043d\u0435\u043c\u0443 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u044e\u0442\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u044b, \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c (NtAlpcConnectPort) \u0441\u043e\u0437\u0434\u0430\u044e\u0442\u0441\u044f \u0435\u0449\u0435 \u0434\u0432\u0430 \u043f\u043e\u0440\u0442\u0430 \u2014 Server Communication Port \u0438 Client Communication Port \u0434\u043b\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e.<\/p>\n<\/li>\n<li>\n<p>ALPC \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435.  \u0421\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435 \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u043c\u0435\u0436\u0434\u0443 ALPC \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u043c \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c. \u0421\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcSendWaitReceivePort. ALPC \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u043e\u043b\u0436\u043d\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u0442\u044c\u0441\u044f \u0441\u043e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b _PORT_MESSAGE.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0430 \u0441\u043a\u0440\u0438\u043d\u0435 \u043d\u0438\u0436\u0435 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 lsass \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u044b \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 ALPC \u043f\u043e\u0440\u0442\u044b<\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/852\/ecb\/464\/852ecb4647ebd5540c0ef9b6aba0a6ef.PNG\" alt=\"\u041e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 lsass ALPC \u043f\u043e\u0440\u0442\u044b\" title=\"\u041e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 lsass ALPC \u043f\u043e\u0440\u0442\u044b\" width=\"1441\" height=\"871\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/852\/ecb\/464\/852ecb4647ebd5540c0ef9b6aba0a6ef.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/852\/ecb\/464\/852ecb4647ebd5540c0ef9b6aba0a6ef.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u041e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 lsass ALPC \u043f\u043e\u0440\u0442\u044b<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u043e\u043e\u0431\u0449\u0435, \u043f\u0440\u043e ALPC \u0431\u044b\u043b\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043c\u043d\u043e\u0433\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u0442\u044c\u0441\u044f, \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0435\u0441\u044f \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0432 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430\u0445 \u043d\u0438\u0436\u0435<\/p>\n<ol>\n<li>\n<p><a href=\"https:\/\/csandker.io\/2022\/05\/24\/Offensive-Windows-IPC-3-ALPC.html\" rel=\"noopener noreferrer nofollow\">\u0425\u043e\u0440\u043e\u0448\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f <\/a><\/p>\n<\/li>\n<li>\n<p>\u0412\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e Windows. \u041a\u043b\u044e\u0447\u0435\u0432\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438. 7-\u0435 \u0438\u0437\u0434\u0430\u043d\u0438\u0435 (\u0432\u0442\u043e\u0440\u0430\u044f \u0447\u0430\u0441\u0442\u044c) &#8212; \u041f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u044b\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.youtube.com\/watch?v=UNpL5csYC1E\" rel=\"noopener noreferrer nofollow\">SyScan&#8217;14 Singapore: All About The Rpc, Lrpc, Alpc, And Lpc In Your Pc By Alex Ionescu<\/a><\/p>\n<\/li>\n<\/ol>\n<h4>\u041a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u044f \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c\u0438 Power Dependency Coordinator<\/h4>\n<p>Power Dependency Coordinator \u0441\u043e\u0437\u0434\u0430\u0435\u0442 ALPC \u043f\u043e\u0440\u0442 \\PdcPort \u0434\u043b\u044f \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c\u0438.<\/p>\n<p>\u0412 WinDbg \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \\PdcPort \u0438 \u0432\u044b\u0432\u0435\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445. \u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0430\u0434\u043e \u043d\u0430\u0439\u0442\u0438 \u0430\u0434\u0440\u0435\u0441 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 <strong>!object<\/strong>, \u0430 \u0437\u0430\u0442\u0435\u043c \u0432\u044b\u0432\u0435\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u0443\u044e \u0434\u043b\u044f ALPC \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 <strong>!alpc<\/strong><\/p>\n<p><code>0: kd&gt; !object \\PdcPort<br \/> Object: ffffd783a9115cc0  Type: (ffffd783a57f44f0) ALPC Port<br \/> ObjectHeader: ffffd783a9115c90 (new version)<br \/> HandleCount: 1  PointerCount: 32606<br \/> Directory Object: ffffc48cd0206bb0  Name: PdcPort<br \/> 0: kd&gt; !alpc \/p ffffd783a9115cc0<br \/> Port ffffd783a9115cc0<br \/> Type                      : ALPC_CONNECTION_PORT<br \/> CommunicationInfo         : ffffc48cd05e41b0<br \/> ConnectionPort          : ffffd783a9115cc0 (PdcPort), Connections<br \/> ClientCommunicationPort : 0000000000000000<br \/> ServerCommunicationPort : 0000000000000000<br \/> OwnerProcess              : ffffd783a56d5040 (System), Connections<br \/> SequenceNo                : 0x00000020 (32)<br \/> CompletionPort            : 0000000000000000<br \/> CompletionList            : 0000000000000000<br \/> ConnectionPending         : No<br \/> ConnectionRefused         : No<br \/> Disconnected              : No<br \/> Closed                    : No<br \/> FlushOnClose              : Yes<br \/> ReturnExtendedInfo        : No<br \/> Waitable                  : No<br \/> Security                  : Static<br \/> Wow64CompletionList       : No<\/code><\/p>\n<p><code>Main queue is empty.<\/code><\/p>\n<p><code>Direct message queue is empty.<\/code><\/p>\n<p><code>Large message queue is empty.<\/code><\/p>\n<p><code>Pending queue is empty.<\/code><\/p>\n<p><code>Canceled queue is empty.<\/code><\/p>\n<p><code>0: kd&gt; !alpc \/lpc ffffd783a9115cc0<\/code><\/p>\n<p><code>ffffd783a9115cc0('PdcPort') 0, 30 connections<br \/> ffffd783aa17f790 0 -&gt;ffffd783aa17f9f0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2d0070 0 -&gt;ffffd783aa2d02d0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2cf9a0 0 -&gt;ffffd783aa2cfc00 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2cdd60 0 -&gt;ffffd783aa2cf740 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2bbd80 0 -&gt;ffffd783aa2cdb00 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783a9768070 0 -&gt;ffffd783a97682d0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa185070 0 -&gt;ffffd783aa1852d0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783a5849790 0 -&gt;ffffd783a58499f0 0 ffffd783aa4bb080('svchost.exe')<br \/> ffffd783a574c530 0 -&gt;ffffd783a575c070 0 ffffd783aa4bb080('svchost.exe')<br \/> ffffd783aa7139f0 0 -&gt;ffffd783a57d19f0 0 ffffd783aa65a080('svchost.exe')<br \/> ffffd783aa8b4dd0 0 -&gt;ffffd783aa8b5dd0 0 ffffd783aa7d6080('svchost.exe')<br \/> ffffd783a9f4ede0 0 -&gt;ffffd783aa735de0 0 ffffd783aa7d6080('svchost.exe')<br \/> ffffd783aa8ec9f0 0 -&gt;ffffd783aa8ed9f0 0 ffffd783aa7d6080('svchost.exe')<br \/> ffffd783aa9e7070 0 -&gt;ffffd783aa9e72d0 0 ffffd783aa8df080('svchost.exe')<br \/> ffffd783aa9e6530 0 -&gt;ffffd783aa9e6790 0 ffffd783aa8df080('svchost.exe')<br \/> ffffd783aaa3cd60 0 -&gt;ffffd783aaa3db00 0 ffffd783aaa19080('svchost.exe')<br \/> ffffd783aaa3ad60 0 -&gt;ffffd783aaa3bb00 0 ffffd783aaa19080('svchost.exe')<br \/> ffffd783aaab22d0 0 -&gt;ffffd783aaab2530 0 ffffd783aaaa0080('svchost.exe')<br \/> ffffd783aaab1c00 0 -&gt;ffffd783aaab2070 0 ffffd783aaaa0080('svchost.exe')<br \/> ffffd783aaab1740 0 -&gt;ffffd783aaab19a0 0 ffffd783aaaa0080('svchost.exe')<br \/> ffffd783ac1ee9f0 0 -&gt;ffffd783ac1eec50 0 ffffd783aad4d080('svchost.exe')<br \/> ffffd783aac8b2d0 0 -&gt;ffffd783aac8b530 0 ffffd783aad540c0('svchost.exe')<br \/> ffffd783ac7149f0 0 -&gt;ffffd783ac714c50 0 ffffd783ac564080('svchost.exe')<br \/> ffffd783acb64070 0 -&gt;ffffd783acb642d0 0 ffffd783acaf7080('svchost.exe')<br \/> ffffd783acb639f0 0 -&gt;ffffd783acb63c50 0 ffffd783aad73080('MsMpEng.exe')<br \/> ffffd783acb5f530 0 -&gt;ffffd783acb5f790 0 ffffd783ac7f0080('explorer.exe')<br \/> ffffd783acdb7b60 0 -&gt;ffffd783acdb7dc0 0 ffffd783aae31080('svchost.exe')<br \/> ffffd783aca0b2d0 0 -&gt;ffffd783aabd97d0 0 ffffd783ace5d080('msedge.exe')<br \/> ffffd783ad5c42d0 0 -&gt;ffffd783ad5c4070 0 ffffd783aa654080('svchost.exe')<br \/> ffffd783ad80f070 0 -&gt;ffffd783ad80f2d0 0 ffffd783a9f59080('svchost.exe')<\/code><\/p>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u0430 <strong>!alpc \/lpc<\/strong> \u0434\u043b\u044f Connection Port \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u043a \u043f\u043e\u0440\u0442\u0443 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432.<br \/>\u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e, \\PdcPort \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0441\u0440\u0435\u0434\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 svchost, msedge \u0438 explorer.<\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0444\u043e\u0440\u043c\u0430\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0436\u0438\u0434\u0430\u0435\u0442 pdc.sys. \u0422\u0430\u043a \u043a\u0430\u043a \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u044f \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u043e ALPC, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442\u044c _PORT_MESSAGE, \u0430 \u0434\u0430\u043b\u0435\u0435 \u0431\u0443\u0434\u0443\u0442 \u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f pdc. \u0423 pdc \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u043e\u0431\u0449\u0438\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0434\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f 0x38 \u0432 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 _PDC_MESSAGE, \u0437\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0442 \u0434\u0430\u043d\u043d\u044b\u0435, \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f<\/p>\n<p>1: kd&gt; dt pdc!_PDC_MESSAGE<br \/> +0x000 Alpc             : _PORT_MESSAGE<br \/> +0x028 Type             : Uint4B<br \/> +0x028 MessageType      : PDC_MESSAGE_TYPE<br \/> +0x02c ClientVersion    : _PDC_CLIENT_VERSION<br \/> +0x02c Reserved         : [2] Uint4B<br \/> +0x038 Register         : _PDC_MSG_REGISTRATION<br \/> +0x038 Resiliency       : _PDC_MSG_RESILIENCY<br \/> +0x038 Notification     : _PDC_MSG_NOTIFICATION<br \/> +0x038 Activation       : _PDC_MSG_ACTIVATION<br \/> +0x038 ActivationV2     : _PDC_MSG_ACTIVATION_V2<br \/> +0x038 ActivationRenewalV2 : _PDC_MSG_ACTIVATION_RENEWAL_V2<br \/> +0x038 ActivatorCallbackV2 : _PDC_MSG_ACTIVATOR_CALLBACK_V2<br \/> +0x038 DeactivationV2   : _PDC_MSG_ACTIVATION_DEACTIVATE_V2<br \/> +0x038 ActivatorCallbackV1 : _PDC_MSG_ACTIVATOR_CALLBACK_V1<br \/> +0x038 SuspendResume    : _PDC_MSG_SUSPENDRESUME<br \/> +0x038 Task             : _PDC_MSG_TASK<br \/> +0x038 SignalChange     : _PDC_SIGNAL_CHANGE<br \/> +0x038 ProfileUpdate    : _PDC_MSG_PPM_PROFILE_UPDATE<br \/> +0x038 SleepstudyHelperMessage : _PDC_SLEEPSTUDY_HELPER_MESSAGE<\/p>\n<p>\u0423 pdc \u0435\u0441\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0442\u0438\u043f\u043e\u0432 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439, \u043d\u0430\u0441 \u0431\u0443\u0434\u0443\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043e\u0432\u0430\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0437 \u043d\u0438\u0445 \u2013 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0435\u0439 \u043a\u043b\u0438\u0435\u043d\u0442\u0430, \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0435\u0439 \u0438 resiliency. \u0412 \u0440\u0430\u043c\u043a\u0430\u0445 \u0441\u0442\u0430\u0442\u044c\u0438 \u0431\u0443\u0434\u0443\u0442 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0434\u0432\u0430 \u0442\u0438\u043f\u0430. \u0422\u0438\u043f \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0435\u043c  MessageType. \u0414\u043b\u044f \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0442\u0438\u043f \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0432  PdcRegisterMessage, \u0434\u043b\u044f \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438 &#8212;  Pdcv2ActivationMessage.<\/p>\n<p><code>0: kd&gt; dt PDC_MESSAGE_TYPE<br \/> PdcRegisterMessage = 0n0<br \/> PdcUnregisterMessage = 0n1<br \/> PdcNotificationMessage = 0n2<br \/> PdcControlMessage = 0n3<br \/> PdcActivationMessage = 0n4<br \/> PdcResiliencyMessage = 0n5<br \/> PdcSuspendResumeMessage = 0n6<br \/> PdcTaskMessage = 0n7<br \/> PdcSignalChangeMessage = 0n8<br \/> PdcPpmProfileMessage = 0n9<br \/> Pdcv2ActivationMessage = 0n10<br \/> Pdcv2ActivationRenewalMessage = 0n11<br \/> Pdcv2ActivationCallbackMessage = 0n12<br \/> Pdcv2DeactivationMessage = 0n13<br \/> Pdcv1ActivationCallbackMessage = 0n14<br \/> PdcSleepstudyHelperMessage = 0n15<\/code><\/p>\n<p>\u041a\u043e\u0433\u0434\u0430 \u043a\u043b\u0438\u0435\u043d\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u0442\u0441\u044f \u0441 pdc \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcConnectPort \u043e\u043d \u0434\u043e\u043b\u0436\u0435\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0435 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 (_PDC_MSG_REGISTRATION), \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0431\u0443\u0434\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u043d\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0435. pdc \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u0434\u043e\u043f\u0443\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u044d\u0442\u043e\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u0442\u0430\u043f\u043e\u0432. \u0415\u0441\u043b\u0438 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u043d\u0430 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u044e \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044e, \u0442\u043e pdc \u043e\u0442\u043a\u043b\u043e\u043d\u044f\u0435\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435. \u0415\u0441\u043b\u0438 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0435 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0431\u044b\u043b\u043e \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u043c \u0438 \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u0438\u043d\u044f\u043b \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435, \u0442\u043e \u0434\u0430\u043b\u0435\u0435 \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u0440\u0443\u0433\u0438\u0445 \u0442\u0438\u043f\u043e\u0432.<\/p>\n<p><code>pdc!_PDC_MSG_REGISTRATION<br \/> +0x000 ClientId         : Uint4B<br \/> +0x004 ClientType       : PDC_CLIENT_TYPE<br \/> +0x008 TriageContext    : Uint8B<br \/> +0x010 ClientTypeData   :<br \/> +0x0bc ModuleName       : [64] Wchar<\/code><\/p>\n<p>\u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f.<br \/>\u0417\u0434\u0435\u0441\u044c \u0432\u0430\u0436\u043d\u043e\u0435 \u043f\u043e\u043b\u0435 ClientId. \u0423 pdc \u0435\u0441\u0442\u044c \u043f\u0440\u0435\u0434\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0435 (\u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435) \u0442\u0438\u043f\u044b \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0438 \u0432 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0438 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d \u0434\u043e\u043f\u0443\u0441\u0442\u0438\u043c\u044b\u0439 \u0442\u0438\u043f \u043a\u043b\u0438\u0435\u043d\u0442\u0430. \u0421\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0442\u0438\u043f\u044b \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u043d\u044b \u0432 pdc.sys (\u043c\u0430\u0441\u0441\u0438\u0432 pdc!PdcClientInfo).<\/p>\n<p>\u0412\u043e\u043e\u0431\u0449\u0435, \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0447\u0438\u0441\u043b\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u043d\u0430 Windows 10 &#8212; 0x73, \u0430 \u043d\u0430 Win 11 \u2013 0x7\u0421.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0443 \u0441 \u043c\u0430\u0441\u0441\u0438\u0432\u043e\u043c PdcClientInfo \u0438 \u0435\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435, \u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u044b \u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0438 \u0443 \u043d\u0438\u0445 \u0435\u0441\u0442\u044c \u0444\u043b\u0430\u0433\u0438. \u0412 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u0444\u043b\u0430\u0433\u0438 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0432\u0430\u0436\u043d\u044b, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0444\u043b\u0430\u0433 0x200, \u0442\u043e \u043a\u043b\u0438\u0435\u043d\u0442 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u043a\u0435\u0440\u043d\u0435\u043b\u043c\u043e\u0434\u043d\u044b\u0439 (\u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u043e\u043b\u0436\u043d\u0430 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u0438\u0437 \u0440\u0435\u0436\u0438\u043c\u0430 \u044f\u0434\u0440\u0430).<\/p>\n<p>\u0421\u043e\u0431\u0440\u0430\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0444\u043b\u0430\u0433\u0430\u043c\u0438 \u043c\u043e\u0436\u043d\u043e <a href=\"https:\/\/github.com\/ht-516\/IDAPython\/blob\/main\/dump_pdcclientinfo.py\" rel=\"noopener noreferrer nofollow\">\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u0434\u043b\u044f IDA Pro<\/a>.<\/p>\n<p>\u0412\u044b\u0432\u043e\u0434 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 (\u0434\u043b\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 \u0432 \u0432\u044b\u0432\u043e\u0434\u0435 \u0441\u0440\u0430\u0437\u0443 \u0443\u043a\u0430\u0437\u0430\u043d\u043e, \u043a\u0435\u0440\u043d\u0435\u043b\u043c\u043e\u0434\u043d\u044b\u0439 \u0438\u043b\u0438 \u044e\u0437\u0435\u0440\u043c\u043e\u0434\u043d\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442)<\/p>\n<p><code>ClientIndex 0x0: flags 0 (UserMode) Client name \"Invalid client\"<br \/> ClientIndex 0x1: flags 6003 (UserMode) Client name \"PLM\"<br \/> ClientIndex 0x2: flags C4 (UserMode) Client name \"NQM\"<br \/> ClientIndex 0x3: flags 3 (UserMode) Client name \"WNS\"<br \/> ClientIndex 0x4: flags 246 (KernelMode) Client name \"DAM\"<br \/> ClientIndex 0x5: flags C4 (UserMode) Client name \"WCM\"<br \/> ClientIndex 0x6: flags 0 (UserMode) Client name \"6\"<br \/> ClientIndex 0x7: flags C3 (UserMode) Client name \"NCSI\"<br \/> ClientIndex 0x8: flags 1 (UserMode) Client name \"DHCP\"<br \/> ClientIndex 0x9: flags 341 (KernelMode) Client name \"TCPIP\"<br \/> ...<br \/> ClientIndex 0x1E: flags 82 (UserMode) Client name \"Test network service client\"<br \/> ClientIndex 0x1F: flags 102 (UserMode) Client name \"Test system service client\"<br \/> ClientIndex 0x20: flags 7 (UserMode) Client name \"Test client\"<br \/> ClientIndex 0x21: flags 7 (UserMode) Client name \"Test client\"<br \/> ClientIndex 0x22: flags 42 (UserMode) Client name \"Shell\"<br \/> ClientIndex 0x23: flags 111 (UserMode) Client name \"Maintenance Scheduler\"<br \/> ClientIndex 0x24: flags 10 (UserMode) Client name \"Sync Client\"<br \/> ClientIndex 0x25: flags 1 (UserMode) Client name \"Image Download Manager\"<br \/> ClientIndex 0x26: flags 26041 (UserMode) Client name \"Cortana Voice Activation\"<br \/> ...<br \/> ClientIndex 0x4A: flags 343 (KernelMode) Client name \"Xbox System VM Quiescence Client\"<br \/> ClientIndex 0x4B: flags 244 (KernelMode) Client name \"Xbox Host VM Quiescence Client\"<br \/> ClientIndex 0x4C: flags 41 (UserMode) Client name \"Print Job Manager\"<br \/> ClientIndex 0x4D: flags 41 (UserMode) Client name \"Universal Telemetry Client\"<br \/> ClientIndex 0x4E: flags 41 (UserMode) Client name \"Windows Error Reporting\"<br \/> \u2026<\/code><\/p>\n<p><code>ClientIndex 0x70: flags 80000 (UserMode) Client name \"PDC User Mode Sleepstudy Helper Library Client\"<br \/> ClientIndex 0x71: flags 80200 (KernelMode) Client name \"PDC Kernel Mode Sleepstudy Helper Library Client\"<br \/> ClientIndex 0x72: flags 142 (UserMode) Client name \"Container Manager user mode notification client\"<\/code><\/p>\n<p>\u0427\u0442\u043e\u0431\u044b pdc \u043f\u0440\u0438\u043d\u044f\u043b \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430, \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0435 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043f\u0440\u043e\u0439\u0442\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a, \u0441\u043d\u0430\u0447\u0430\u043b\u0430 pdc!PdcSanitizeClientMessage \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442 \u0440\u0430\u0437\u043c\u0435\u0440 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f (\u0434\u043e\u043f\u0443\u0441\u0442\u0438\u043c\u043e 0x300 \u0438\u043b\u0438 0x320) \u0438 ClientVersion.<\/p>\n<p>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f  ClientVersion<\/p>\n<p><code>0: kd&gt; dt pdc!_PDC_CLIENT_VERSION<br \/> PdcClientVersionInvalid = 0n0<br \/> PdcClientVersionRs1 = 0n1<br \/> PdcClientVersionRs3 = 0n2<br \/> PdcClientVersionRs4 = 0n3<br \/> PdcClientVersionRs5 = 0n4<br \/> PdcClientVersion19H1 = 0n5<br \/> PdcClientVersionCurrent = 0n5<\/code><\/p>\n<p>\u0414\u0430\u043b\u0435\u0435 pdc!PdcValidateClient \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442 ClientIndex \u2013 \u0438\u043d\u0434\u0435\u043a\u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0432 \u043c\u0430\u0441\u0441\u0438\u0432\u0435 pdc!PdcClientInfo.<br \/>\u041a\u0430\u043a \u0431\u044b\u043b\u043e \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e \u0432\u044b\u0448\u0435, \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u043c\u0430\u0441\u0441\u0438\u0432\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442\u0441\u044f \u0444\u043b\u0430\u0433\u0438. \u0414\u043b\u044f \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0432\u0430\u0436\u0435\u043d \u0444\u043b\u0430\u0433 0x200, \u043e\u043d \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u044d\u0442\u043e \u043a\u043b\u0438\u0435\u043d\u0442 \u0440\u0435\u0436\u0438\u043c\u0430 \u044f\u0434\u0440\u0430, \u0438 pdc \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c KTHREAD<em>.<\/em>PreviousMode \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0442\u0440\u0435\u0434\u0430. \u0414\u043b\u044f kernel mode \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432\u044b\u0437\u043e\u0432 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u0438\u0437 \u044f\u0434\u0440\u0430 \u0438 KTHREAD.PreviousMode \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0432 0.<\/p>\n<p>\u0417\u043d\u0430\u0447\u0438\u0442, \u043d\u0430\u043c \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u0438\u043d\u0434\u0435\u043a\u0441 \u0442\u0430\u043a\u043e\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0438\u0437 pdc!PdcClientInfo, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043a\u0435\u0440\u043d\u0435\u043b\u043c\u043e\u0434\u043d\u044b\u043c, \u0438\u043d\u0430\u0447\u0435 \u043c\u044b \u043d\u0435 \u043f\u0440\u043e\u0439\u0434\u0435\u043c \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044e. \u0414\u043b\u044f \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442 0x26 &#171;Cortana Voice Activation&#187;.<\/p>\n<p>\u0414\u0440\u0443\u0433\u043e\u0435 \u0432\u0430\u0436\u043d\u043e\u0435 \u043f\u043e\u043b\u0435 \u2014 ClientType (\u0442\u0438\u043f \u043a\u043b\u0438\u0435\u043d\u0442\u0430) \u043e\u043d\u043e \u0438\u043c\u0435\u0435\u0442 \u0442\u0438\u043f PDC_CLIENT_TYPE.<\/p>\n<p><code>1: kd&gt; dt pdc!PDC_CLIENT_TYPE<br \/> PdcNotificationClient = 0n0<br \/> PdcResiliencyClient = 0n1<br \/> PdcActivator = 0n2<br \/> PdcSuspendResumeClient = 0n3<br \/> PdcTaskClient = 0n4<br \/> PdcSignalClient = 0n5<br \/> PdcPpmProfileClient = 0n6<br \/> Pdcv2Activator = 0n7<br \/> PdcSleepstudyClient = 0n8<br \/> PdcInvalidType = 0n9<\/code><\/p>\n<p>\u0414\u043b\u044f \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438 \u043e\u043d\u043e \u0434\u043e\u043b\u0436\u043d\u043e \u0438\u043c\u0435\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 PdcActivator (2) \u0438\u043b\u0438 Pdcv2Activator (7). \u0422\u0430\u043a \u043a\u0430\u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u043c\u0435\u044e\u0442 \u0432 \u0438\u043c\u0435\u043d\u0438 v2, \u0432 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u043e\u0434\u043e\u0439\u0434\u0435\u0442 Pdcv2Activator. PdcAllocateUserClient \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 ClientType \u043f\u0440\u0438 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430. \u0415\u0441\u043b\u0438 \u0432\u0441\u0435 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0448\u043b\u0438 \u0443\u0441\u043f\u0435\u0448\u043d\u043e pdc \u0442\u0430\u043a\u0436\u0435 \u0432\u044b\u0434\u0435\u043b\u0438\u0442 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 (pdc_client) \u0432\u044b\u0437\u043e\u0432\u043e\u043c PdcAllocateUserClient, \u0441 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0435.<\/p>\n<p>\u0414\u0430\u043b\u0435\u0435 \u043a\u043b\u0438\u0435\u043d\u0442 \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u0440\u0443\u0433\u0438\u0445 \u0442\u0438\u043f\u043e\u0432, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0434\u043b\u044f \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438 \u0444\u043e\u0440\u043c\u0430\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439<\/p>\n<p><code>1: kd&gt; dt _PDC_MSG_ACTIVATION_V2<br \/> pdc!_PDC_MSG_ACTIVATION_V2<br \/> +0x000 OperationStatus  : Int4B<br \/> +0x004 ErrorDetail      : _PDC_ACTIVATOR_ERROR_DETAIL<br \/> +0x008 PdcActivationInstanceHandle : Uint8B<br \/> +0x010 ActivityType     : PDC_ACTIVITY_TYPE<br \/> +0x018 Flags            : Uint8B<br \/> +0x020 StartTimeTolerance : Uint4B<br \/> +0x024 ExpectedMaximumDuration : Uint4B<br \/> +0x028 Task             : [128] Wchar<br \/> +0x128 SubTask          : [128] Wchar<br \/> +0x228 ExtraActivationParameters : _PDC_EXTRA_ACTIVATION_PARAMETERS<br \/> +0x240 DiagnosticContext : _PDC_DIAGNOSTIC_CONTEXT64<\/code><\/p>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0431\u044b\u043b\u0438 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u044b \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441 pdc, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u0430\u0442\u0447\u0430.<\/p>\n<h4>\u0411\u043e\u043b\u0435\u0435 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u0430\u0442\u0447\u0430<\/h4>\n<p>\u041a\u0430\u043a \u0443\u0436\u0435 \u0431\u044b\u043b\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0432\u044b\u0448\u0435, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e. \u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043e\u0434\u043d\u0443 \u0438\u0437 \u043d\u0438\u0445 &#8212; PdcpV2Activation.<\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/56f\/fc8\/acf\/56ffc8acf723f76d64ea326d87fd9149.PNG\" alt=\"\u0421\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Activation \" title=\"\u0421\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Activation \" width=\"1376\" height=\"890\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/56f\/fc8\/acf\/56ffc8acf723f76d64ea326d87fd9149.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/56f\/fc8\/acf\/56ffc8acf723f76d64ea326d87fd9149.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0421\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Activation <\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0432 BinDiff (\u0441\u043b\u0435\u0432\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0439 \u0444\u0430\u0439\u043b, \u0441\u043f\u0440\u0430\u0432\u0430 \u043f\u043e\u0441\u043b\u0435 \u043f\u0430\u0442\u0447\u0430) \u043c\u043e\u0436\u043d\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0432\u044b\u0432\u043e\u0434, \u0447\u0442\u043e \u0431\u0430\u0433 \u043a\u0430\u043a-\u0442\u043e \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u0432\u044b\u0437\u043e\u0432\u043e\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpReplyActivatorClient (\u043d\u0430 \u043d\u043e\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 PdcpV2ReplyActivation \u0432\u044b\u0437\u0432\u0430\u0435\u0442 \u0442\u0435 \u0436\u0435 PdcpPrintActivationMessage \u0438 PdcpReplyActivatorClient), \u0442\u0430\u043a \u043a\u0430\u043a \u0432 \u043d\u043e\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 pdc.sys \u0435\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044e. \u0412 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 pdc.sys PdcpReplyActivatorClient \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 pdc_client, \u0443 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e 0x190 \u043f\u043e\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u0435\u0440\u043d\u0443\u043b\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f PdcpCreateActivationInstance.<\/p>\n<p>\u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0434\u0430\u043d\u043d\u0443\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e. PdcpCreateActivationInstance \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442 \u0431\u043b\u043e\u043a \u043f\u0430\u043c\u044f\u0442\u0438 (activation_instance) \u0432 NonPagedPoolNx \u0440\u0430\u0437\u043c\u0435\u0440\u0430 0x348 \u043d\u0430 Win 11 \u0438 0x340 \u043d\u0430 Win10, \u0437\u0430\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0439 \u0431\u043b\u043e\u043a \u043f\u0430\u043c\u044f\u0442\u0438 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043d\u0430 \u043d\u0435\u0433\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c.<\/p>\n<p>\u042d\u0442\u043e \u0443\u0436\u0435 \u043e\u0447\u0435\u043d\u044c \u043f\u043e\u0445\u043e\u0436\u0435 \u043d\u0430 \u0441\u0443\u0442\u044c \u0431\u0430\u0433\u0430. \u0422\u0435\u043f\u0435\u0440\u044c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0447\u0442\u043e PdcpReplyActivatorClient \u0434\u0430\u043b\u044c\u0448\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u0441 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u043c \u044f\u0434\u0435\u0440\u043d\u044b\u043c \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u043c. \u0414\u0430\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043e\u0442\u0432\u0435\u0442\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0443 pdc.sys. PdcpReplyActivatorClient \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u043e\u0442\u0432\u0435\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0443 \u0438\u0437 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0433\u043e \u0440\u0435\u0436\u0438\u043c\u0430 (\u0442\u043e\u0433\u0434\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0443\u0439\u0434\u0435\u0442 \u0432 PdcSendUserMessage) \u0438\u043b\u0438 \u0438\u0437 \u0440\u0435\u0436\u0438\u043c\u0430 \u044f\u0434\u0440\u0430 (PdcSendKernelMessage). \u041d\u0430\u0441 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u0435\u0442 \u043f\u0435\u0440\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u044e PdcSendUserMessage. \u0417\u0434\u0435\u0441\u044c \u0442\u0430\u043a\u0436\u0435 \u0432\u0430\u0436\u043d\u043e \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e PdcpReplyActivatorClient \u0441\u043c\u0435\u0449\u0430\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c, \u043d\u0430 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443, \u0433\u0434\u0435 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c, \u043d\u0430 0x150 \u043f\u0435\u0440\u0435\u0434 \u0435\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435\u0439 \u0432 PdcSendUserMessage. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u0442\u0435\u043f\u0435\u0440\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e 0x40. <\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/840\/d4f\/b35\/840d4fb35cd36dc4e9c250a95ed15a8a.PNG\" alt=\"\u0424\u0443\u043d\u043a\u0446\u0438\u044f PdcpReplyActivatorClient\" title=\"\u0424\u0443\u043d\u043a\u0446\u0438\u044f PdcpReplyActivatorClient\" width=\"960\" height=\"295\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/840\/d4f\/b35\/840d4fb35cd36dc4e9c250a95ed15a8a.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/840\/d4f\/b35\/840d4fb35cd36dc4e9c250a95ed15a8a.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0424\u0443\u043d\u043a\u0446\u0438\u044f PdcpReplyActivatorClient<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u043d\u0443\u0442\u0440\u0438 PdcSendUserMessage \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043a\u0438 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 ZwAlpcSendWaitReceivePort, \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0432 \u043d\u0435\u0438\u0437\u043c\u0435\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435. \u0422\u0435\u043f\u0435\u0440\u044c \u043d\u0430\u0434\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u044d\u0442\u043e \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435.<\/p>\n<h4>\u0421\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u0431\u0430\u0433\u0430<\/h4>\n<p>\u041a\u0430\u043a \u0432\u044b\u044f\u0441\u043d\u0438\u043b\u043e\u0441\u044c, \u0434\u043b\u044f \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0431\u0430\u0433\u0430 \u0431\u044b\u043b\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c v2 activation message (_PDC_MSG_ACTIVATION_V2), \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0432\u044b\u0437\u0432\u0430\u0432 PdcpV2Activation, \u0442\u043e\u0433\u0434\u0430 pdc.sys \u0432 \u043e\u0442\u0432\u0435\u0442\u043d\u043e\u043c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0438 \u0432\u0435\u0440\u043d\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0438\u0437 NonPagedPoolNx.<\/p>\n<p>\u0414\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0434\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0441\u043e\u0435\u0434\u0438\u043d\u0438\u0442\u044c\u0441\u044f \u043a \u043f\u043e\u0440\u0442\u0443 \\PdcPort \u0441 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u043c \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u043c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435\u043c, \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0435 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043e\u0442\u0432\u0435\u0442\u043d\u043e\u0435 NtAlpcSendWaitReceivePort.<\/p>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, PdcpCreateActivationInstance \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442 \u0431\u043b\u043e\u043a \u043f\u0430\u043c\u044f\u0442\u0438 \u0440\u0430\u0437\u043c\u0435\u0440\u0430 0x348 \u043d\u0430 Win 11 \u0438 \u044d\u0442\u043e\u0442 \u0430\u0434\u0440\u0435\u0441 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043c\u0435\u0449\u0435\u043d \u0432 \u043e\u0442\u0432\u0435\u0442\u043d\u043e\u0435 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 ALPC \u043a\u043b\u0438\u0435\u043d\u0442\u0443 (\u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, \u043d\u0430\u0448\u0435\u043c\u0443).<\/p>\n<p>\u041d\u0438\u0436\u0435 \u0441\u0442\u0435\u043a \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0438\u0437 PoC \u0434\u043e PdcpV2Activation<\/p>\n<p><code>00 fffff80615a92071     : ffffa10c2b0d0ea0 ffffa10c2b0d0f00 ffffa10c2b0d12b8 0000000000000000 : pdc!PdcpV2Activation+0x136 01 fffff80615aadf96     : ffffd783a9115cc0 ffffa10c00000000 ffffc48cdd0f8c20 ffffa10c2b0d0e30 : pdc!PdcV2ActivatorReceive+0x11<br \/> 02 fffff80615aad642     : ffffc48cd07a0fc0 ffffa10c2b0d0f00 ffffa10c2b0d12b8 0000000000000000 : pdc!PdcProcessReceivedUserMessage+0x62 03 fffff80615aad8b4     : ffffffff80000194 ffffd783a5ff7101 ffffd783a5ff7101 ffffd783a5ffe648 : pdc!PdcProcessMessage+0x50a<br \/> 04 fffff80615aad129     : ffffd783a5ff7190 ffffd783a5ffe650 0000000000000000 ffff840101361e90 : pdc!PdcpAlpcProcessMessages+0x94 05 fffff80683a7dd77     : ffffc48cdd6b20c0 ffffd783a9115cc0 7ffffffffffffffc 0000000000000000 : pdc!PdcMessageCallback+0x9<br \/> 06 fffff80683f1b366     : ffffc48cdd6b20c0 ffffd783a9115cc0 ffffd783a5ffe640 0000000000000000 : nt!ExNotifyCallback+0xb7 07 fffff80683f1a44d     : ffffc48cdd0f8c20 ffffd78300000000 0000000000000004 0000000000000000 : nt!AlpcpCompleteDispatchMessage+0xdd6<br \/> 08 fffff80683f1e1d2     : ffffd78300000004 ffffd783b204ea08 0000000000000004 00000000000000f8 : nt!AlpcpDispatchNewMessage+0x2ed 09 fffff80683eab3ae     : 0000000000000000 0000000000000000 000002026c3d0000 0000000000000006 : nt!AlpcpSendMessage+0x982<br \/> 0a fffff80683cfd355     : ffffa10c2b0d1b60 ffffd783b204e080 000000443094f738 0000000000000000 : nt!NtAlpcSendWaitReceivePort+0x24e 0b 00007ffb5cc808d4     : 00007ff7b13e1357 0000000000000000 000002026c3cf4c0 0000000000000000 : nt!KiSystemServiceCopyEnd+0x25<br \/> 0c 00007ff7b13e1357     : 0000000000000000 000002026c3cf4c0 0000000000000000 000000000000014c : ntdll!NtAlpcSendWaitReceivePort+0x14 0d 00007ff7b13e1b2c     : 0000000000000000 0000000000000000 0000000000000001 0000000000000001 : CVE_2025_27736!wmain+0x297<\/code><\/p>\n<p>\u0415\u0441\u043b\u0438 \u043f\u0440\u043e\u0442\u0440\u0435\u0439\u0441\u0438\u0442\u044c PdcpV2Activation \u0434\u043e PdcpCreateActivationInstance \u0438 PdcpReplyActivatorClient \u0434\u043e ZwAlpcSendWaitReceivePort, \u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u043e\u0442\u0432\u0435\u0442\u043d\u043e\u043c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0438 \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e 0x40 \u0431\u0443\u0434\u0435\u0442 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u0435\u0440\u043d\u0443\u043b\u0430  PdcpCreateActivationInstance.<\/p>\n<h4>\u041f\u0430\u0442\u0447 \u0438 \u043f\u0440\u0438\u0447\u0438\u043d\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438<\/h4>\n<p>\u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Activation, \u0442\u043e \u0441\u0442\u0430\u043d\u0435\u0442 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u0430\u0434\u0440\u0435\u0441\u0430, \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u0437 PdcpCreateActivationInstance (activation_instance) \u0442\u0435\u043f\u0435\u0440\u044c \u043f\u043e \u0442\u043e\u043c\u0443 \u0436\u0435 offset 0x190 \u043f\u043e\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u0432\u0437\u044f\u0442\u043e\u0435 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 activation_instance + 0x340. <\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/cce\/acf\/e42\/cceacfe42b8f8c317fedd6c9b2f08686.PNG\" alt=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 PdcpV2Activation\" title=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 PdcpV2Activation\" width=\"638\" height=\"201\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/cce\/acf\/e42\/cceacfe42b8f8c317fedd6c9b2f08686.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/cce\/acf\/e42\/cceacfe42b8f8c317fedd6c9b2f08686.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 PdcpV2Activation<\/figcaption><\/div>\n<\/figure>\n<p>\u0427\u0442\u043e\u0431\u044b \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u0442\u0435\u043f\u0435\u0440\u044c \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u0443 \u0432\u043c\u0435\u0441\u0442\u043e \u0430\u0434\u0440\u0435\u0441\u0430, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u044e PdcpCreateActivationInstance. \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e 0x340 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b pdc_client+0x480 \u0438 \u0442\u0435\u043f\u0435\u0440\u044c \u0441\u043c\u044b\u0441\u043b \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u043b\u044f \u2014 \u0447\u0438\u0441\u043b\u043e \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u043c (\u043f\u043e \u0432\u0441\u0435\u0439 \u0432\u0438\u0434\u0438\u043c\u043e\u0441\u0442\u0438).<\/p>\n<p>\u041e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u0430\u044f PdcpCreateActivationInstance<\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/c1b\/d95\/8ea\/c1bd958ea819286e1d045536c1ac446a.PNG\" alt=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u043e\u043b\u0435\u043d\u043d\u043e\u0439 PdcpCreateActivationInstance\" title=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u043e\u043b\u0435\u043d\u043d\u043e\u0439 PdcpCreateActivationInstance\" width=\"838\" height=\"231\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/c1b\/d95\/8ea\/c1bd958ea819286e1d045536c1ac446a.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/c1b\/d95\/8ea\/c1bd958ea819286e1d045536c1ac446a.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u043e\u043b\u0435\u043d\u043d\u043e\u0439 PdcpCreateActivationInstance<\/figcaption><\/div>\n<\/figure>\n<p>\u041a\u0441\u0442\u0430\u0442\u0438, \u043f\u043e\u043b\u0435 pdc_client + 0x480 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 1 \u0432 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u043e\u0439 PdcActivatorInitialize<\/p>\n<p>\u0415\u0441\u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c PoC \u043d\u0430 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0442\u043e \u0432\u0441\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442\u0441\u044f, \u0432\u043c\u0435\u0441\u0442\u043e \u0430\u0434\u0440\u0435\u0441\u0430 \u0442\u0435\u043f\u0435\u0440\u044c \u0431\u0443\u0434\u0435\u0442 1 \u0434\u043b\u044f \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0432\u044b\u0437\u043e\u0432\u0430 \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438.<\/p>\n<p>\u0412 \u0437\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0434\u0440\u0443\u0433\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u043e\u0442\u043d\u043e\u0441\u044f\u0449\u0438\u0435\u0441\u044f \u043a \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438.<\/p>\n<p>PdcpV2Renew \u2013 \u043d\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0430, \u0442\u0430\u043a \u043a\u0430\u043a \u0442\u0430\u043c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0430 \u0441 \u0445\u0435\u043d\u0434\u043b\u043e\u043c \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438. \u0412\u043e\u043e\u0431\u0449\u0435, \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0438, \u044d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c \u0445\u0435\u043d\u0434\u043b \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438 \u0438 \u0434\u0430\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0435\u0433\u043e \u043e\u0436\u0438\u0434\u0430\u0435\u0442 \u0432 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u043c\u043e\u043c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0438. \u0420\u0430\u043d\u044c\u0448\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u043b\u0430 \u0445\u0435\u043d\u0434\u043b \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438 \u0438\u0437 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0438 \u0434\u0430\u043b\u0435\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430 \u044d\u0442\u043e\u0442 \u0430\u0434\u0440\u0435\u0441, \u0442\u0435\u043f\u0435\u0440\u044c \u0436\u0435 \u0441\u0442\u0430\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f PdcpDecodeActivationInstanceHandle. \u041e\u043d\u0430, \u043a\u0441\u0442\u0430\u0442\u0438, \u043d\u043e\u0432\u0430\u044f \u0432 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430<\/p>\n<figure class=\"full-width\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9ea\/de3\/f1b\/9eade3f1b0c983d4d5b4235b553632ca.PNG\" alt=\"\u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Renew\" title=\"\u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Renew\" width=\"1355\" height=\"891\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/9ea\/de3\/f1b\/9eade3f1b0c983d4d5b4235b553632ca.PNG 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9ea\/de3\/f1b\/9eade3f1b0c983d4d5b4235b553632ca.PNG 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Renew<\/figcaption><\/div>\n<\/figure>\n<p>PdcpV2Deactivation \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435, \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 PdcpV2Renew.<\/p>\n<p>\u0427\u0442\u043e \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u0447\u0438\u043d \u0431\u0430\u0433\u0430, \u0443 \u043c\u0435\u043d\u044f \u0435\u0441\u0442\u044c \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u043a\u0430\u043a \u0432 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0432 \u044e\u0437\u0435\u0440\u043c\u043e\u0434, \u043c\u043e\u0433 \u043f\u043e\u043f\u0430\u0441\u0442\u044c \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441. \u0412\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u044d\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0441\u0432\u044f\u0437\u0430\u043d\u043e \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e pdc \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0438 \u044f\u0434\u0435\u0440\u043d\u044b\u0445 \u0438 \u044e\u0437\u0435\u0440\u043c\u043e\u0434\u043d\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432, \u0438 \u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0431\u044b\u043b \u043d\u0443\u0436\u0435\u043d \u044f\u0434\u0435\u0440\u043d\u044b\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c. \u0412 \u043f\u043e\u043b\u044c\u0437\u0443 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u0442\u043e, \u0447\u0442\u043e  \u043e\u0431\u043e\u0438\u043c \u0442\u0438\u043f\u0430\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 PdcpReplyActivatorClient \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0442\u0441\u044f \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n<h4>\u0418\u0442\u043e\u0433\u0438<\/h4>\n<p>\u0411\u044b\u043b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u0431\u0430\u0433 \u0432 \u0440\u0435\u0434\u043a\u043e\u043c (\u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u043c\u043e\u0441\u0442\u0438 \u0432 \u043f\u0430\u0442\u0447\u0430\u0445) \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0435 Power Dependency Coordinator. \u041a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432 \u043f\u043e \u0440\u0430\u0431\u043e\u0442\u0435 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430, \u043f\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c \u0431\u0430\u0433\u0430, \u043d\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0443\u0442\u044b\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435. <\/p>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/926390\/\"> https:\/\/habr.com\/ru\/articles\/926390\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u0431\u0430\u0433\u0443 \u0432 Power Dependency Coordinator (CVE-2025-27736), \u0437\u0430\u043f\u0430\u0442\u0447\u0435\u043d\u043d\u043e\u043c\u0443 Microsoft \u0432 \u0430\u043f\u0440\u0435\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0433\u043e\u0434\u0430.<\/p>\n<p><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-27736\" rel=\"noopener noreferrer nofollow\">\u0412 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0438 CVE<\/a> \u0441\u043a\u0430\u0437\u0430\u043d\u043e, \u0447\u0442\u043e \u0431\u0430\u0433 \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 (\u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u044f\u0434\u0440\u0430).<\/p>\n<p><em>Exposure of sensitive information to an unauthorized actor in Windows Power Dependency Coordinator allows an authorized attacker to disclose information locally.<\/em><\/p>\n<p><a href=\"https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2025-27736\" rel=\"noopener noreferrer nofollow\">https:\/\/msrc.microsoft.com\/update-guide\/vulnerability\/CVE-2025-27736<\/a><\/p>\n<p><em>Exploiting this vulnerability could allow the disclosure of <\/em><strong><em>certain memory address within kernel space<\/em><\/strong><em>. Knowing the exact location of kernel memory could be potentially leveraged by an attacker for other malicious activities.<\/em><\/p>\n<p>\u0412 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 Windows 11 24H2 \u0441 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435\u043c NtQuerySystemInformation \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432, \u0431\u0430\u0433\u0438 \u0442\u0430\u043a\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f \u0435\u0449\u0435 \u0431\u043e\u043b\u0435\u0435 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043d\u0435 \u0441\u0442\u0430\u043b\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u0440 \u0442\u0430\u043a\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.<\/p>\n<p>\u0418\u0437 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u044e\u0442\u0441\u044f IDA Pro, BinDiff, WinDbg, \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f &#8212; Windows 11 \u0438\u043b\u0438 Windows 10 x64 \u0441 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e \u0430\u043f\u0440\u0435\u043b\u044f 2025 (\u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u043e\u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u0438 PoC) \u0438 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f\u043c\u0438 (\u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f PoC \u043f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f).<\/p>\n<h4>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 Power Dependency Coordinator?<\/h4>\n<p>Power Dependency Coordinator (pdc.sys) \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043f\u0438\u0442\u0430\u043d\u0438\u0435\u043c \u0438 \u043e\u043d \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c \u0431\u044b\u0441\u0442\u0440\u043e \u0432\u044b\u0445\u043e\u0434\u0438\u0442\u044c \u0438\u0437 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u0441\u043d\u0430. \u041e\u043d \u043f\u043e\u044f\u0432\u0438\u043b\u0441\u044f \u0432 Windows 8.0.<\/p>\n<p>\u041f\u0440\u043e \u044d\u0442\u043e\u0442 \u0434\u0440\u0430\u0439\u0432\u0435\u0440 \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432\u043e \u0412\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u043c \u0423c\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435 Windows \u0435\u0441\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0435 \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430 \u0432 \u0433\u043b\u0430\u0432\u0435, \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u043d\u043e\u0439 ALPC. \u0422\u0430\u043c \u0441\u043a\u0430\u0437\u0430\u043d\u043e, \u0447\u0442\u043e pdc.sys \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 callback \u0434\u043b\u044f \u0441\u0432\u044f\u0437\u0438 \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c\u0438 \u043f\u043e ALPC, \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u043c\u044b \u044d\u0442\u043e \u0443\u0432\u0438\u0434\u0438\u043c \u043f\u0440\u0438 \u0440\u0435\u0432\u0435\u0440\u0441\u0435 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430.<\/p>\n<h4>\u0410\u043d\u0430\u043b\u0438\u0437 \u043f\u0430\u0442\u0447\u0430<\/h4>\n<p>\u041a\u0430\u043a \u0443\u0436\u0435 \u0431\u044b\u043b\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0440\u0430\u043d\u0435\u0435, Power Dependency Coordinator \u2013 \u044d\u0442\u043e \u0434\u0440\u0430\u0439\u0432\u0435\u0440 pdc.sys<\/p>\n<p>\u0421\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c \u0434\u0432\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u0430 \u0441<\/p>\n<p><a href=\"https:\/\/winbindex.m417z.com\/\" rel=\"noopener noreferrer nofollow\">https:\/\/winbindex.m417z.com\/<\/a><\/p>\n<p>\u0438 \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0430\u0435\u043c \u043a \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u043f\u0430\u0442\u0447\u0430.<\/p>\n<p>\u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u0432\u0435\u0440\u0441\u0438\u044e pdc.sys \u0434\u043e \u0430\u043f\u0440\u0435\u043b\u044f 2025 \u0438 \u0430\u043f\u0440\u0435\u043b\u044c\u0441\u043a\u0443\u044e.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f BinDiff \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u0438 \u043e\u043d\u0438 \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0441\u0432\u044f\u0437\u0430\u043d\u044b \u0441 \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0435\u0439<\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u0421\u043f\u0438\u0441\u043e\u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 pdc.sys<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u0441\u0435\u0433\u043e 7 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439.<\/p>\n<p>PdcpV2SendCallbackMessage<br \/>PdcpV2Deactivation<br \/>PdcpV2Renew<br \/>PdcpV2Activation<br \/>PdcpCompleteResiliencyOperation<br \/>PdcpCreateActivationInstance<br \/>PdcActivatorInitialize<\/p>\n<p>\u0412 \u0441\u0442\u0430\u0442\u044c\u0435 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0442\u0435\u0440\u043c\u0438\u043d\u044b \u00ab\u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u044f\u00bb \u0438 \u00abresiliency\u00bb. \u0417\u0434\u0435\u0441\u044c \u044f \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u0443\u044e\u0441\u044c \u043d\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 pdc \u0438 \u0435\u0433\u043e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440, \u0432\u0430\u0436\u043d\u044b\u0445 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, PdcpV2Activation \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0438\u043c\u0435\u043d\u0438 Activation, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0435\u0439. PdcpV2Renew \u0442\u043e\u0436\u0435 \u043f\u043e\u0434\u0440\u0430\u0437\u0443\u043c\u0435\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0430\u043a\u0442\u0438\u0432\u0430\u0446\u0438\u0438, \u0442\u0430\u043a \u043a\u0430\u043a \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcV2ActivatorReceive.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 PdcpV2Activation, PdcpV2Renew, PdcpV2Deactivation, \u0442\u043e \u043f\u043e \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0431\u044b\u0441\u0442\u0440\u043e \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f PdcProcessMessage, \u044d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 PdcpAlpcProcessMessages, \u0430 PdcpAlpcProcessMessages, \u0432 \u0441\u0432\u043e\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u0438\u0437 PdcMessageCallback. \u0414\u0440\u0443\u0433\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0442\u0430\u043a\u0436\u0435 \u0434\u043e\u0441\u0442\u0438\u0436\u0438\u043c\u044b \u0447\u0435\u0440\u0435\u0437 PdcMessageCallback.<br \/>PdcMessageCallback \u2014 \u044d\u0442\u043e callback, \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 ALPC \u043f\u043e\u0440\u0442\u0443 \u0447\u0435\u0440\u0435\u0437 ZwAlpcSetInformation. \u0418\u0437 \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u0430\u0442\u0447\u0430 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0431\u0443\u0434\u0435\u0442 \u0438\u043c\u0435\u0442\u044c \u0434\u0435\u043b\u043e \u0441 ALPC, \u0447\u0442\u043e\u0431\u044b \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438. \u0412 \u0441\u0432\u044f\u0437\u0438 \u0441 \u044d\u0442\u0438\u043c, \u043d\u0438\u0436\u0435 \u0431\u0443\u0434\u0435\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0439 \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u0431 ALPC \u0438 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0432 PDC.<\/p>\n<h4>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 ALPC?<\/h4>\n<p>ALPC (Advanced Local Procedure Call) &#8212; \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u043c\u0435\u0436\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043d\u043e\u0433\u043e \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f (IPC). \u042d\u0442\u043e \u043e\u0434\u0438\u043d \u0438\u0437 \u0431\u0430\u0437\u043e\u0432\u044b\u0445 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u043e\u0432 Windows \u0438 \u043c\u043d\u043e\u0433\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 ALPC \u0434\u043b\u044f \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 RPC, csrss, lsass \u0438 \u0434\u0440\u0443\u0433\u0438\u0435).<\/p>\n<p>\u0412\u043e\u043e\u0431\u0449\u0435, ALPC &#8212; \u043d\u0435\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0438 Microsoft \u043d\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0438 \u043d\u0435 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u044b\u0441\u043e\u043a\u043e\u0443\u0440\u043e\u0432\u043d\u0435\u0432\u044b\u0445 API, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 ntdll.<\/p>\n<p>\u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u043f\u043e\u043d\u044f\u0442\u0438\u044f ALPC:<\/p>\n<ol>\n<li>\n<p>ALPC \u043f\u043e\u0440\u0442 &#8212; \u044d\u0442\u043e \u044f\u0434\u0435\u0440\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 Windows (\u043a\u0430\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u043f\u043e\u0442\u043e\u043a, event). ALPC \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d \u043f\u043e \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0443 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440. \u0421\u0435\u0440\u0432\u0435\u0440 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 ALPC \u043f\u043e\u0440\u0442, \u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u044b \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u0440\u0442\u0443 \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f\u043c\u0438. ALPC \u043f\u043e\u0440\u0442 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcCreatePort, \u043a\u043b\u0438\u0435\u043d\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043a \u043f\u043e\u0440\u0442\u0443 \u0447\u0435\u0440\u0435\u0437 NtAlpcConnectPort.<br \/>\u0421\u0435\u0440\u0432\u0435\u0440 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u044f\u0442\u044c \u0438\u043b\u0438 \u043e\u0442\u043a\u043b\u043e\u043d\u0438\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcAcceptConnectPort.<\/p>\n<\/li>\n<li>\n<p>ALPC \u043f\u043e\u0440\u0442\u044b \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b \u043d\u0430 \u0442\u0440\u0438 \u0442\u0438\u043f\u0430. \u041f\u0435\u0440\u0432\u044b\u0439 \u2014 Connection Port, \u043e\u043d \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c (NtAlpcCreatePort) \u0438 \u043a \u043d\u0435\u043c\u0443 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u044e\u0442\u0441\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u044b, \u043f\u0440\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c (NtAlpcConnectPort) \u0441\u043e\u0437\u0434\u0430\u044e\u0442\u0441\u044f \u0435\u0449\u0435 \u0434\u0432\u0430 \u043f\u043e\u0440\u0442\u0430 \u2014 Server Communication Port \u0438 Client Communication Port \u0434\u043b\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e.<\/p>\n<\/li>\n<li>\n<p>ALPC \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435.  \u0421\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0432 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435 \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u043c\u0435\u0436\u0434\u0443 ALPC \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u043c \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c. \u0421\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 NtAlpcSendWaitReceivePort. ALPC \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0434\u043e\u043b\u0436\u043d\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u0442\u044c\u0441\u044f \u0441\u043e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b _PORT_MESSAGE.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0430 \u0441\u043a\u0440\u0438\u043d\u0435 \u043d\u0438\u0436\u0435 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 lsass \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u044b \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 ALPC \u043f\u043e\u0440\u0442\u044b<\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u041e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 lsass ALPC \u043f\u043e\u0440\u0442\u044b<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u043e\u043e\u0431\u0449\u0435, \u043f\u0440\u043e ALPC \u0431\u044b\u043b\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043c\u043d\u043e\u0433\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u0442\u044c\u0441\u044f, \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0435\u0441\u044f \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0432 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430\u0445 \u043d\u0438\u0436\u0435<\/p>\n<ol>\n<li>\n<p><a href=\"https:\/\/csandker.io\/2022\/05\/24\/Offensive-Windows-IPC-3-ALPC.html\" rel=\"noopener noreferrer nofollow\">\u0425\u043e\u0440\u043e\u0448\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f <\/a><\/p>\n<\/li>\n<li>\n<p>\u0412\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e Windows. \u041a\u043b\u044e\u0447\u0435\u0432\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438. 7-\u0435 \u0438\u0437\u0434\u0430\u043d\u0438\u0435 (\u0432\u0442\u043e\u0440\u0430\u044f \u0447\u0430\u0441\u0442\u044c) &#8212; \u041f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u044b\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.youtube.com\/watch?v=UNpL5csYC1E\" rel=\"noopener noreferrer nofollow\">SyScan&#8217;14 Singapore: All About The Rpc, Lrpc, Alpc, And Lpc In Your Pc By Alex Ionescu<\/a><\/p>\n<\/li>\n<\/ol>\n<h4>\u041a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u044f \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c\u0438 Power Dependency Coordinator<\/h4>\n<p>Power Dependency Coordinator \u0441\u043e\u0437\u0434\u0430\u0435\u0442 ALPC \u043f\u043e\u0440\u0442 \\PdcPort \u0434\u043b\u044f \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c\u0438.<\/p>\n<p>\u0412 WinDbg \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \\PdcPort \u0438 \u0432\u044b\u0432\u0435\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445. \u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0430\u0434\u043e \u043d\u0430\u0439\u0442\u0438 \u0430\u0434\u0440\u0435\u0441 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 <strong>!object<\/strong>, \u0430 \u0437\u0430\u0442\u0435\u043c \u0432\u044b\u0432\u0435\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u0443\u044e \u0434\u043b\u044f ALPC \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 <strong>!alpc<\/strong><\/p>\n<p><code>0: kd&gt; !object \\PdcPort<br \/> Object: ffffd783a9115cc0  Type: (ffffd783a57f44f0) ALPC Port<br \/> ObjectHeader: ffffd783a9115c90 (new version)<br \/> HandleCount: 1  PointerCount: 32606<br \/> Directory Object: ffffc48cd0206bb0  Name: PdcPort<br \/> 0: kd&gt; !alpc \/p ffffd783a9115cc0<br \/> Port ffffd783a9115cc0<br \/> Type                      : ALPC_CONNECTION_PORT<br \/> CommunicationInfo         : ffffc48cd05e41b0<br \/> ConnectionPort          : ffffd783a9115cc0 (PdcPort), Connections<br \/> ClientCommunicationPort : 0000000000000000<br \/> ServerCommunicationPort : 0000000000000000<br \/> OwnerProcess              : ffffd783a56d5040 (System), Connections<br \/> SequenceNo                : 0x00000020 (32)<br \/> CompletionPort            : 0000000000000000<br \/> CompletionList            : 0000000000000000<br \/> ConnectionPending         : No<br \/> ConnectionRefused         : No<br \/> Disconnected              : No<br \/> Closed                    : No<br \/> FlushOnClose              : Yes<br \/> ReturnExtendedInfo        : No<br \/> Waitable                  : No<br \/> Security                  : Static<br \/> Wow64CompletionList       : No<\/code><\/p>\n<p><code>Main queue is empty.<\/code><\/p>\n<p><code>Direct message queue is empty.<\/code><\/p>\n<p><code>Large message queue is empty.<\/code><\/p>\n<p><code>Pending queue is empty.<\/code><\/p>\n<p><code>Canceled queue is empty.<\/code><\/p>\n<p><code>0: kd&gt; !alpc \/lpc ffffd783a9115cc0<\/code><\/p>\n<p><code>ffffd783a9115cc0('PdcPort') 0, 30 connections<br \/> ffffd783aa17f790 0 -&gt;ffffd783aa17f9f0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2d0070 0 -&gt;ffffd783aa2d02d0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2cf9a0 0 -&gt;ffffd783aa2cfc00 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2cdd60 0 -&gt;ffffd783aa2cf740 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa2bbd80 0 -&gt;ffffd783aa2cdb00 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783a9768070 0 -&gt;ffffd783a97682d0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783aa185070 0 -&gt;ffffd783aa1852d0 0 ffffd783aa0020c0('svchost.exe')<br \/> ffffd783a5849790 0 -&gt;ffffd783a58499f0 0 ffffd783aa4bb080('svchost.exe')<br \/> ffffd783a574c530 0 -&gt;ffffd783a575c070 0 ffffd783aa4bb080('svchost.exe')<br \/> ffffd783aa7139f0 0 -&gt;ffffd783a57d19f0 0 ffffd783aa65a080('svchost.exe')<br \/> ffffd783aa8b4dd0 0 -&gt;ffffd783aa8b5dd0 0 ffffd783aa7d6080('svchost.exe')<br \/> ffffd783a9f4ede0 0 -&gt;ffffd783aa735de0 0 ffffd783aa7d6080('svchost.exe')<br \/> ffffd783aa8ec9f0 0 -&gt;ffffd783aa8ed9f0 0 ffffd783aa7d6080('svchost.exe')<br \/> ffffd783aa9e7070 0 -&gt;ffffd783aa9e72d0 0 ffffd783aa8df080('svchost.exe')<br \/> ffffd783aa9e6530 0 -&gt;ffffd783aa9e6790 0 ffffd783aa8df080('svchost.exe')<br \/> ffffd783aaa3cd60 0 -&gt;ffffd783aaa3db00 0 ffffd783aaa19080('svchost.exe')<br \/> ffffd783aaa3ad60 0 -&gt;ffffd783aaa3bb00 0 ffffd783aaa19080('svchost.exe')<br \/> ffffd783aaab22d0 0 -&gt;ffffd783aaab2530 0 ffffd783aaaa0080('svchost.exe')<br \/> ffffd783aaab1c00 0 -&gt;ffffd783aaab2070 0 ffffd783aaaa0080('svchost.exe')<br \/> ffffd783aaab1740 0 -&gt;ffffd783aaab19a0 0 ffffd783aaaa0080('svchost.exe')<br \/> ffffd783ac1ee9f0 0 -&gt;ffffd783ac1eec50 0 ffffd783aad4d080('svchost.exe')<br \/> ffffd783aac8b2d0 0 -&gt;ffffd783aac8b530 0 ffffd783aad540c0('svchost.exe')<br \/> ffffd783ac7149f0 0 -&gt;ffffd783ac714c50 0 ffffd783ac564080('svchost.exe')<br \/> ffffd783acb64070 0 -&gt;ffffd783acb642d0 0 ffffd783acaf7080('svchost.exe')<br \/> ffffd783acb639f0 0 -&gt;ffffd783acb63c50 0 ffffd783aad73080('MsMpEng.exe')<br \/> ffffd783acb5f530 0 -&gt;ffffd783acb5f790 0 ffffd783ac7f0080('explorer.exe')<br \/> ffffd783acdb7b60 0 -&gt;ffffd783acdb7dc0 0 ffffd783aae31080('svchost.exe')<br \/> ffffd783aca0b2d0 0 -&gt;ffffd783aabd97d0 0 ffffd783ace5d080('msedge.exe')<br \/> ffffd783ad5c42d0 0 -&gt;ffffd783ad5c4070 0 ffffd783aa654080('svchost.exe')<br \/> ffffd783ad80f070 0 -&gt;ffffd783ad80f2d0 0 ffffd783a9f59080('svchost.exe')<\/code><\/p>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u0430 <strong>!alpc \/lpc<\/strong> \u0434\u043b\u044f Connection Port \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u043a \u043f\u043e\u0440\u0442\u0443 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432.<br \/>\u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e, \\PdcPort \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0441\u0440\u0435\u0434\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 svchost, msedge \u0438 explorer.<\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0444\u043e\u0440\u043c\u0430\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0436\u0438\u0434\u0430\u0435\u0442 pdc.sys. \u0422\u0430\u043a \u043a\u0430\u043a \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u044f \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u043e ALPC, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442\u044c _PORT_MESSAGE, \u0430 \u0434\u0430\u043b\u0435\u0435 \u0431\u0443\u0434\u0443\u0442 \u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f pdc. \u0423 pdc \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u043e\u0431\u0449\u0438\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0434\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f 0x38 \u0432 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 _PDC_MESSAGE, \u0437\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0442 \u0434\u0430\u043d\u043d\u044b\u0435, \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f<\/p>\n<p>1: kd&gt; dt pdc!_PDC_MESSAGE<br \/> +0x000 Alpc             : _PORT_MESSAGE<br \/> +0x028 Type             : Uint4B<br \/> +0x028 MessageType      : PDC_MESSAGE_TYPE<br \/> +0x02c ClientVersion    : _PDC_CLIENT_VERSION<br \/> +0x02c Reserved         : [2] Uint4B<br \/> +0x038 Register         : _PDC_MSG_REGISTRATION<br \/> +0x038 Resiliency       : _PDC_MSG_RESILIENCY<br \/> +0x038 Notification     : _PDC_MSG_NOTIFICATION<br \/> +0x038 Activation       : _PDC_MSG_ACTIVATION<br \/> +0x038 ActivationV2     : _PDC_MSG_ACTIVATION_V2<br \/> +0x038 ActivationRenewalV2 : _PDC_MSG_ACTIVATION_RENEWAL_V2<br \/> +0x038 ActivatorCallbackV2 : _PDC_MSG_ACTIVATOR_CALLBACK_V2<br \/> +0x038 DeactivationV2   : _PDC_MSG_ACTIVATION_DEACTIVATE_V2<br \/> +0x038<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-466593","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/466593","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=466593"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/466593\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=466593"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=466593"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=466593"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}