能力值：
( LV2，RANK：10 )
|
-
-
2 楼
之前好像有人发过类似的帖，你搜搜看
|
能力值：
( LV5，RANK：60 )
|
-
-
3 楼
eprocess都有了......
|
能力值：
( LV6，RANK：90 )
|
-
-
4 楼
看了下，好像还没有一个什么系统函数可以通过eprocess获得进程句柄的。虽然每个进程都有一个句柄表，但你想要的不会在里面。eprocess 也好像没有其他相关参数来保存进程句柄的。
要找句柄，估计只有去句柄表里面找。创建句柄一般是用这个函数完成的，
ExCreateHandle(IN PHANDLE_TABLE HandleTable,
IN PHANDLE_TABLE_ENTRY HandleTableEntry)。第一个参数是内核句柄表，第二个参数HandleTableEntry-〉Object把 句柄和对应的对象关联起来了。object是对象头，应该可以根据eprocess推算出对象头，然后遍历内核句柄表，找到object指针一致的项，应该就能把此进程的句柄挖出来
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
看来这有这样了，由于PID是变换的。我可以通过找某进程的PID再到pspCidTAble表中去索引他的句柄，相信应该能搞定。
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
ZwOpenProcess？不能直接获得句柄了么？
|
能力值：
( LV3，RANK：20 )
|
-
-
7 楼
晕倒.
顺着 PsActiveProcessHead找到目标EPROCESS.[找的时候PsGetProcessImageFileName可能有点用]
然后 ObOpenObjectByPointer之.
记得减少引用.
完事.
|
能力值：
( LV9，RANK：260 )
|
-
-
8 楼
PsLookupProcessByProcessId ，可以由pid获得eprocess
ZwOpenProcess，可以由pid获得handle
ObReferenceObjectByHandle，可以由handle获得eprocess
遍历进程可以搜索链表（不加锁有概率会蓝），也可以ZwQuerySystemInformation
|
能力值：
( LV4，RANK：50 )
|
-
-
9 楼
看不懂~
努力学习~
希望有一天可以看懂~
楼主辛苦~
|
|
|
|
谢
