能力值：
( LV2，RANK：10 )
|
-
-
2 楼
继续求解答。。。
因为有检测，有保护线程一直在检测，恢复断链马上自动重启电脑。
所以只是想手动将EPROCESS信息增加到NtQuerySystemInformation返回的EPROCESS到_SYSTEM_PROCESSES中去。怎么办？
|
能力值：
![]()
(RANK：400 )
|
-
-
3 楼
hook NtQuerySystemInformation，调用原始NtQuerySystemInformation，返回结果为
struct xx{
ULONG i;
yy
}
此时，自己再申请一块i+1个结构体的内存，然后把原始数据拷贝进去，接着填充hide_process，最后返回就好了。
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
EPROCESS到_SYSTEM_PROCESSES
感谢版大的回复. 但还是不太明白.
申请内存块, 调用原始NtQuerySystemInformation,返回的是每个进程信息的_SYSTEM_PROCESSES. 而通过pspcidtable遍历得到的是EPROCESS结构,两个结构信息完全不同. _SYSTEM_PROCESSES需要的几个字在EPROCESS结构都没有,怎么填充?
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
继续等待高手帮解答下.
|
能力值：
( LV13，RANK：290 )
|
-
-
6 楼
自己动手先搞下，边调边试，，就知道怎么搞了。
|
能力值：
![]()
(RANK：400 )
|
-
-
7 楼
怎么填充直接参考NtQuerySystemInformation函数的实现。
|
能力值：
( LV13，RANK：290 )
|
-
-
8 楼
我估计lz是希望有人把代码给你写出来， 
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
抱歉,我只是想问方法.
如果你认为我是只要代码来的,对不起,你错了
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
windbg看过NtQuerySystemInformation的实现.很复杂.
有别的方法吗
|
|
|
