-
-
[求助]拦截ZwCreateThread之后主、从进程的判断
-
发表于:
2013-3-21 11:21
5360
-
[求助]拦截ZwCreateThread之后主、从进程的判断
有如下疑问：
拦截了ZwCreateThread之后，在判断创建的是当前进程的线程还是其他进程中的远程线程时，为什么看到网上代码都是通过eprocess进行判断的。如下：
CurrentProcess = PsGetCurrentProcess();
ObReferenceObjectByHandle( ProcessHandle ,0,*PsProcessType,KernelMode, &ProcessObject, NULL);
eprocess = ((ULONG)ProcessObject) & 0xFFFFFFFC;
num=*(ULONG *)(eprocess+0x1a0);
if(eprocess != (ULONG)Cprocess && num!=0)
{
....
}
为什么不直接用ZwCreateThread的参数ProcessHandle和NtCurrentProcess()的值比较呢，岂不是更简单？
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
