BSOD при попытке в кернеле хукнуть ф-цию...

[sasha_s7]

пишу драйверок, в котром хукаю пару функций.
так вот хукаю так:

cli;
mov eax, cr0;
and eax, 0xFFFEFFFF;
mov cr0, eax;

Дизассемблирую код и заменяю первые иснрукции на JMP на мой враппер.

mov eax, cr0;
or eax, 0x00010000;
mov cr0, eax;
sti;

Сама проблема: под 2к все пашет, ф-ции хукаются и никаких траблов. А вот под XP синий BSOD, естествено валится в том месте где я меняю код (JMP вставляю).

ДЕТАЛИ: Система не многопроцессорная, проц без гиперсрединга. Прежде чем вставить JMP я дезассемблирую код. Дизассемблер тоже проверенный, правда под ЮзерМодом, да и в ядре под 2к ведь все работает.

В чем ньюансы? Спецы откликнетесь...

[Greysfi]

Может краш дамп покажешь? BSOD это ведь даже не плохо

[sasha_s7]

Тебе мемори дамп выслать?

[Greysfi]

Не не сам файл. А последнии инструкции и стек. Посмотри отладчиком

[sasha_s7]

впринципе яж все описал, но вот еще

верхние три записи стека:

nt!KiTrap0E
hooknt!hook_all
hooknt!DriverDispatch

в KiTrap0E вызывается KeBugCheck2;
hooknt мой драйверок, в hook_all идет перехват ф-ций, иснструкция на которой падает примерно такая:

buf[0] = 0xE9;
далее пишем адресс для джампа, но записи 0xE9 уже достаточно
где buf = (PCHAR)(адресс нужной ф-ции, ну скажем ZwWriteFile...)

[Greysfi]

Не раз у тебя что то упало то у тебя должен получиться краш дамп и в нем нужно смотреть причину.

[sasha_s7]

ясно... я уже этот краш дамп глазами протер насквозь. Где падает знаю, а вот почему никто не могет сказать.

[Greysfi]

так вот и пришли его посмотреть

[sasha_s7]

192 Мб... Слать тебе?

[Greysfi]

нет я говорю о том чтобы дизассемблированные последнии команды. Стек и все такое сюда распечатать.