-
-
[求助]请问如何在驱动中获取进程的上下文
-
发表于: 2012-3-5 18:05 3528
-
看到一篇文章,为方便转过来
作者:kruglinski(kruglinski_at_sohu_dot_com)
出处:http://hi.baidu.com/kruglinski
时间:2007.06.29
在驱动中可能需要线程上下文才能做一些操作,在不少地方可以得到进线程上下文,下面总结一下我所知道和常用的,如果有漏掉的,请朋友们回帖加上。
方法1:PsSetCreateThreadNotifyRoutine,PslookupThread(Process)ByXXX,可能会被杀
方法2:IP Firewall Hook,进来时都是进行网络通讯的进程上下文,2k,xp,2k3有效,vista不知道
方法3:SSDT Hook通用
方法4:NtQuerySystemInformation,SystemProcessInformation,有时得不到登录用户创建的进/线程列表?
方法5:Dispatch Hook,通用,道理与SSDT Hook相似
方法6:Filter Driver,通用
方法7:Hook PsConvertToGuiThread,到现在为止,我只见过自己用过这个方法,可以有效的得到Ring3用户进程上下文,而且不用像Dispatch Hook那样进来的太频繁
------------------分割线-------------------
上面只说了大致方法,请人指导具体实现的方法,望不吝指教,最好给出代码。谢谢!
作者:kruglinski(kruglinski_at_sohu_dot_com)
出处:http://hi.baidu.com/kruglinski
时间:2007.06.29
在驱动中可能需要线程上下文才能做一些操作,在不少地方可以得到进线程上下文,下面总结一下我所知道和常用的,如果有漏掉的,请朋友们回帖加上。
方法1:PsSetCreateThreadNotifyRoutine,PslookupThread(Process)ByXXX,可能会被杀
方法2:IP Firewall Hook,进来时都是进行网络通讯的进程上下文,2k,xp,2k3有效,vista不知道
方法3:SSDT Hook通用
方法4:NtQuerySystemInformation,SystemProcessInformation,有时得不到登录用户创建的进/线程列表?
方法5:Dispatch Hook,通用,道理与SSDT Hook相似
方法6:Filter Driver,通用
方法7:Hook PsConvertToGuiThread,到现在为止,我只见过自己用过这个方法,可以有效的得到Ring3用户进程上下文,而且不用像Dispatch Hook那样进来的太频繁
------------------分割线-------------------
上面只说了大致方法,请人指导具体实现的方法,望不吝指教,最好给出代码。谢谢!
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)
赞赏
他的文章
- [分享]“中国黑客”病毒染毒文件手工修复 1923
- [求助]请问如何在驱动中获取进程的上下文 3529
- [求助]XueTr的HOOK哪去了? 6632
- [推荐]Delphi全API创建窗体、工具栏、按钮 8266
- [求助]能够应对电脑死机的软件 3813
看原图
赞赏
雪币:
留言: