首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]NtcreateProcess HOOK 程序路径
发表于: 2010-4-23 16:09 7162

[求助]NtcreateProcess HOOK 程序路径

lovebubble 活跃值
2010-4-23 16:09
7162
你好，
     想请教一下挂钩NtcreateProcess 函数后，在HOOK函数中，NtcreateProcess 返回后，我观察此函数的参数objectattribures值为0。所以我想知道，通过什么方法能得到即将创建的程序路径以及其命令行参数?
   据说，_EPROCESS结构中的_PEB结构的ProcessParameters处存放着进程路径，那命令行参数呢？

谢谢！！

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (5)
wwwwly
雪    币： 81
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
不贴代码，别怎么帮你看！
2010-4-23 18:56
0
cvcvxk
雪    币： 8835
活跃值： (2404)
能力值： ( LV12，RANK：760 )
在线值：
发帖
回帖
粉丝
私信
3 楼
ZwCreateUserProcess貌似参数直接有路径
2010-4-23 20:31
0
xiongyifly
雪    币： 55
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
ProcessParameters结构中ImagePathName成员为进程路径,CommandLine成员是命令行参数,它们都是UNICODE_STRING类型
2010-4-28 15:53
0
lovebubble
雪    币： 245
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
我用windbg看了下，好像不太像。。。
2010-4-28 18:45
0
escript
雪    币： 231
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
PRMonitor源码
2010-4-28 19:17
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//