-
-
[求助]hook ZwRequestWaitReplyPort后 如何判断是创建服务
-
发表于: 2009-11-25 14:37
-
在下想拦截 服务的创建和修改
根据之前qihoocom的指点
现在 hook了ZwRequestWaitReplyPort函数 打算分析该函数的第二个参数
IN PLPC_MESSAGE Request
得到想要的数据 ：1） 创建服务和修改服务的行为 2）是否在与services.exe进程通信
在网上查了些资料 说
根据Request 中的MessageId可以解决 第一个问题
分析第一个参数PortHandle后，可以判断是在和谁通信
在下实在是比较菜 不知道如何分析这两个参数
希望给位牛人 不吝赐教
十分感谢之
根据之前qihoocom的指点
现在 hook了ZwRequestWaitReplyPort函数 打算分析该函数的第二个参数
IN PLPC_MESSAGE Request
得到想要的数据 ：1） 创建服务和修改服务的行为 2）是否在与services.exe进程通信
在网上查了些资料 说
根据Request 中的MessageId可以解决 第一个问题
分析第一个参数PortHandle后，可以判断是在和谁通信
在下实在是比较菜 不知道如何分析这两个参数
希望给位牛人 不吝赐教
十分感谢之
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
ls 别只顾着吃啊 ~
给支支招儿 啊 说说有哪些资料可以查哈？
|
|
|
|
|
|
首先 感谢startion兄 的帮助
其次 偶对兄台提到的 “1. MessageType 就可以知道收到是什么报文了” 中的 “报文” 不是太理解 这个报文是不是也和tcp 或 udp里面的那个报文是一回事儿呢？ 之前看到MessageType的命名和DWORD类型值 就猜想是要和一些宏的值作比较或是switch 然后得出操作行为的类型(不知对否？) 如果是这样的话 这些宏 要到哪里去找呢？（现在就卡在这里了~~ ）打算补一补这块的知识 要看哪些书 或是 文章资料呢~ 再次 感谢
|
|
|
还有 就是 在网上看到一篇文章说 通过 Request 中的MessageId可以判断操作行为，这个MessageId有这样的功能吗？还是说仅仅就是个ID值
|
|
|
|
|
|
这种说法是在网上搜到的
十分不解所以才 来问问 既然 ls上道了 就给点资料啊
|
