systructs.inc

The example that shows how to use int2e trick to use ZwSetInformationThread to hide from ring3 debug

struct EXCEPTION_POINTERS
  ExceptionRecord dd ?
  ContextRecord   dd ?
ends

SIZE_OF_80387_REGISTERS = 80

struct FLOATING_SAVE_AREA
  ControlWord	dd ?
  StatusWord	dd ?
  TagWord	dd ?
  ErrorOffset	dd ?
  ErrorSelector dd ?
  DataOffset	dd ?
  DataSelector	dd ?
  RegisterArea	db SIZE_OF_80387_REGISTERS dup (?)
  Cr0NpxState	dd ?
ends

struct CONTEXT
  ContextFlags dd ?
  Dr0	       dd ?
  Dr1	       dd ?
  Dr2	       dd ?
  Dr3	       dd ?
  Dr6	       dd ?
  Dr7	       dd ?
  FloatSave    FLOATING_SAVE_AREA
  SegGs        dd ?
  SegFs        dd ?
  SegEs        dd ?
  SegDs        dd ?
  Edi	       dd ?
  Esi	       dd ?
  Ebx	       dd ?
  Edx	       dd ?
  Ecx	       dd ?
  Eax	       dd ?
  Ebp	       dd ?
  Eip	       dd ?
  SegCs        dd ?
  EFlag        dd ?
  Esp	       dd ?
  SegSs        dd ?
ends

struct LIST_ENTRY
  Flink dd ?
  Blink dd ?
ends

struct CLIENT_ID
  UniqueProcess dd ?
  UniqueThread	dd ?
ends

struct UNICODE_STRING
  Length	dw ?
  MaximumLength dw ?
  Buffer	dd ?
ends

struct RTL_USER_PROCESS_PARAMETERS
  AllocationSize	 dd ?
  dwSize		 dd ?
  Flags 		 dd ?
  DebugFlags		 dd ?
  hConsole		 dd ?
  ProcessGroup		 dd ?
  hStdInput		 dd ?
  hStdOutput		 dd ?
  hStdError		 dd ?
  CurrentDirectoryName	 UNICODE_STRING
  CurrentDirectoryHandle dd ?
  DllPath		 UNICODE_STRING
  ImagePathName 	 UNICODE_STRING
  CommandLine		 UNICODE_STRING
  Environment		 dd ?
  dwX			 dd ?
  dwY			 dd ?
  dwXSize		 dd ?
  dwYSize		 dd ?
  dwXCountChars 	 dd ?
  dwYCountChars 	 dd ?
  dwFillAttribute	 dd ?
  dwFlags		 dd ?
  wShowWindow		 dd ?
  WindowTitle		 UNICODE_STRING
  DesktopInfo		 UNICODE_STRING
  ShellInfo		 UNICODE_STRING
  RuntimeInfo		 UNICODE_STRING
ends

struct NT_TIB
  ExceptionList        dd ?  ; ptr to EXCEPTION_REGISTRATION_RECORD
  StackBase	       dd ?
  StackLimit	       dd ?
  SubSystemTib	       dd ?
  FiberData	       dd ?
  ArbitraryUserPointer dd ?
  Self		       dd ?  ; ptr to NT_TIB
ends

struct CURDIR
  DosPath UNICODE_STRING
  Handle  dd ?
ends

struct RTL_DRIVE_LETTER_CURDIR
  Flags     dw ?
  dwLength  dd ?
  TimeStamp dd ?
  DosPath   UNICODE_STRING
ends

struct PEB_FREE_BLOCK
  Next	dd ?  ; ptr to PEB_FREE_BLOCK
  iSize dd ?
ends

struct PEB_LDR_DATA
  iLength			  dd ?
  Initialized			  dd ?
  SsHandle			  dd ?
  InLoadOrderModuleList 	  LIST_ENTRY
  InMemoryOrderModuleList	  LIST_ENTRY
  InInitializationOrderModuleList LIST_ENTRY
ends

struct PEB
  InheritedAddressSpace 	 db ?
  ReadImageFileExecOptions	 db ?
  BeingDebugged 		 db ?
  Spare 			 db ?
  Mutant			 dd ?
  ImageBaseAddress		 dd ?
  Ldr				 dd ?  ; ptr to PEB_LDR_DATA
  ProcessParameters		 dd ?  ; ptr to RTL_USER_PROCESS_PARAMETERS
  SubSystemData 		 dd ?
  ProcessHeap			 dd ?
  FastPebLock			 dd ?
  FastPebLockRoutine		 dd ?  ; ptr to PEBLOCKROUTINE
  FastPebUnlockRoutine		 dd ?  ; ptr to PEBLOCKROUTINE
  EnvironmentUpdateCount	 dd ?
  KernelCallbackTable		 dd ?
  EventLogSection		 dd ?
  EventLog			 dd ?
  FreeList			 dd ?  ; ptr to PEB_FREE_BLOCK
  TlsExpansionCounter		 dd ?
  TlsBitmap			 dd ?
  TlsBitmapBits1		 dd ?
  TlsBitmapBits2		 dd ?
  ReadOnlySharedMemoryBase	 dd ?
  ReadOnlySharedMemoryHeap	 dd ?
  ReadOnlyStaticServerData	 dd ?
  AnsiCodePageData		 dd ?
  OemCodePageData		 dd ?
  UnicodeCaseTableData		 dd ?
  NumberOfProcessors		 dd ?
  NtGlobalFlag			 dd ?
  Spare2			 dd ?
  CriticalSectionTimeout	 dq ?
  HeapSegmentReserve		 dd ?
  HeapSegmentCommit		 dd ?
  HeapDeCommitTotalFreeThreshold dd ?
  HeapDeCommitFreeBlockThreshold dd ?
  NumberOfHeaps 		 dd ?
  MaximumNumberOfHeaps		 dd ?
  ProcessHeaps			 dd ?
  GdiSharedHandleTable		 dd ?
  ProcessStarterHelper		 dd ?
  GdiDCAttributeList		 dd ?
  LoaderLock			 dd ?
  OSMajorVersion		 dd ?
  OSMinorVersion		 dd ?
  OSBuildNumber 		 dw ?
  OSCSDVersion			 dw ?
  OSPlatformId			 dd ?
  ImageSubSystem		 dd ?
  ImageSubSystemMajorVersion	 dd ?
  ImageSubSystemMinorVersion	 dd ?
  ImageProcessAffinityMask	 dd ?
  GdiHandleBuffer		 dd 34 dup (?)
  PostProcessInitRoutine	 dd ?
  TlsExpansionBitmap		 dd ?
  TlsExpansionBitmapBits	 dd 32 dup (?)
  SessionId			 dd ?
  AppCompatInfo 		 dd ?
  CSDVersion			 UNICODE_STRING
ends

struct GDI_TEB_BATCH
  dwOffset dd ?
  HDC	   dd ?
  Buffer   dd 310 dup (?)
ends

struct TEB
  Tib			       NT_TIB
  EnvironmentPointer	       dd ?
  dwCid 		       CLIENT_ID
  ActiveRpcInfo 	       dd ?
  ThreadLocalStoragePointer    dd ?
  Peb			       dd ?  ; ptr to PEB
  LastErrorValue	       dd ?
  CountOfOwnedCriticalSections dd ?
  CsrClientThread	       dd ?
  Win32ThreadInfo	       dd ?   ; ptr to W32THREAD
  Win32ClientInfo	       dd 31 dup (?)
  WOW32Reserved 	       dd ?
  CurrentLocale 	       dd ?
  FpSoftwareStatusRegister     dd ?
  SystemReserved1	       dd 54 dup (?)
  Spare1		       dd ?
  ExceptionCode 	       dd ?
  SpareBytes1		       db 40 dup (?)
  SystemReserved2	       dd 10 dup (?)
  GdiTebBatch		       GDI_TEB_BATCH
  gdiRgn		       dd ?
  gdiPen		       dd ?
  gdiBrush		       dd ?
  RealClientId		       CLIENT_ID
  GdiCachedProcessHandle       dd ?
  GdiClientPID		       dd ?
  GdiClientTID		       dd ?
  GdiThreadLocaleInfo	       dd ?
  UserReserved		       dd 5 dup (?)
  glDispatchTable	       dd 280 dup (?)
  glReserved1		       dd 26 dup (?)
  glReserved2		       dd ?
  glSectionInfo 	       dd ?
  glSection		       dd ?
  glTable		       dd ?
  glCurrentRC		       dd ?
  glContext		       dd ?
  LastStatusValue	       dd ?
  StaticUnicodeString	       UNICODE_STRING
  StaticUnicodeBuffer	       dw 261 dup (?)
  DeallocationStack	       dd ?
  TlsSlots		       dd 64 dup (?)
  TlsLinks		       LIST_ENTRY
  Vdm			       dd ?
  ReservedForNtRpc	       dd ?
  DbgSsReserved 	       dd 2 dup (?)
  HardErrorDisabled	       dd ?
  Instrumentation	       dd 16 dup (?)
  WinSockData		       dd ?
  GdiBatchCount 	       dd ?
  Spare2		       dw ?
  IsFiber		       db ?
  Spare3		       db ?
  Spare4		       dd ?
  Spare5		       dd ?
  ReservedForOle	       dd ?
  WaitingOnLoaderLock	       dd ?
  Unknown		       dd 11 dup (?)
  FlsSlots		       dd ?
  WineDebugInfo 	       dd ?
ends