首页
社区
课程
招聘
[求助]hOOK ZwCreateUserProcess怎么获取新进程的PID
发表于: 2016-3-9 22:09 4628

[求助]hOOK ZwCreateUserProcess怎么获取新进程的PID

2016-3-9 22:09
4628
最后一个参数指针加多少偏移是PID,PsAttributeClientId, // out PCLIENT_ID闹不清楚这个在哪

[课程]FART 脱壳王!加量不加价!FART作者讲授!

收藏
免费 0
支持
分享
最新回复 (3)
雪    币: 7651
活跃值: (523)
能力值: ( LV9,RANK:610 )
在线值:
发帖
回帖
粉丝
2
NTSTATUS NtCreateUserProcess(
    [COLOR="Red"][B]OUT PHANDLE ProcessHandle,[/B][/COLOR]    OUT PHANDLE ThreadHandle,
    IN ACCESS_MASK ProcessDesiredAccess,
    IN ACCESS_MASK ThreadDesiredAccess,
    IN POBJECT_ATTRIBUTES ProcessObjectAttributes OPTIONAL,
    IN POBJECT_ATTRIBUTES ThreadObjectAttributes OPTIONAL,
    IN ULONG CreateProcessFlags,
    IN ULONG CreateThreadFlags,
    IN PRTL_USER_PROCESS_PARAMETERS ProcessParameters,
    IN PVOID Parameter9,
    IN PNT_PROC_THREAD_ATTRIBUTE_LIST AttributeList
);



第一个参数你看一下
有句柄的话,ObRefrence一下得到对象,然后PsGetProcessId
2016-3-10 13:35
0
雪    币: 8
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
感谢用ZwQueryInformationProcess解决了,刚搜到你回复的解除文件占用那个正好用的着,试试谢谢
2016-3-15 01:06
0
雪    币: 8
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
在新函数联级注入DLL,创建线程一直失败错误8。
我想是要等子进程初始化完成了,才能注入。如何让它初始化完成并挂起,等待我注入。
2016-3-16 02:14
0
游客
登录 | 注册 方可回帖
返回
//