[原创]64位CreateProcess逆向:（六）新进程、新线程的管理-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[原创]64位CreateProcess逆向:（六）新进程、新线程的管理

发表于: 2016-4-18 22:39 10556

[原创]64位CreateProcess逆向:（六）新进程、新线程的管理

coffeesoft 活跃值

2016-4-18 22:39

10556

点击下面进入总目录：
64位Windows创建64位进程逆向分析（总目录）

  在这个系列的上两篇文章中，我们已经谈及了进程、线程的创建。按照教科书式的说法，Windows操作系统中，各个进程与进程之间的内存空间是独立的，而同一个进程的多个线程是共享同一个内存空间的。但是，在windows编程中又一定会涉及到“进程间通信”，这说明进程与进程之间是不可能完全独立的。直接点说，站在Windows操作系统(0环）的角度看，Windows是保存有所有进程的信息、并能够管理他们的关系，以此完成进程间通信、线程间切换的一系列问题。
  在这篇文章中，我们通过分析0环的PspInsertProcess函数与PspInsertThread函数，可以看到windows其实就是以链表这种数据结构管理进程、线程。
  新建进程的管理PspInsertProcess
  在0环中，Windows通过调用PspInsertProcess来管理新进程。他的函数原型如下：

NTSTATUS 
PspInsertProcess(  IN PEPROCESS   pCurentEprocess,
        IN PEPROCESS pParentEprocess,
        IN ACCESS_MASK DesiredAccess,
        IN ULONG nCreateFlags,
        IN ULONG JobMemberLevel,
        IN HANDLE DebugObjectHandle,
        IN ULONG unKnownFlag,
        IN ULONG enumType,
        OUT ACCESS_STATE_EXPAND* ptrAccessState
         );

登录后可查看完整内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

#调试逆向

上传的附件：

PspInsertProcess.png （35.96kb，39次下载）
PspInsertThread.png （37.25kb，33次下载）
1.png （31.17kb，6次下载）
2.png （58.13kb，3次下载）
3.png （20.44kb，2次下载）
4.png （34.69kb，3次下载）
5.png （25.19kb，2次下载）
6.png （14.66kb，3次下载）
7.png （28.66kb，3次下载）
8.png （22.14kb，2次下载）
9.png （14.62kb，2次下载）
10.png （10.55kb，2次下载）
11.png （74.11kb，4次下载）
12.png （32.88kb，3次下载）
13.png （16.69kb，3次下载）
14.png （42.96kb，2次下载）
15.png （25.70kb，2次下载）
16.png （19.41kb，4次下载）
17.png （14.99kb，3次下载）
18.png （14.38kb，2次下载）
19.png （30.57kb，3次下载）
20.png （29.31kb，2次下载）
21.png （10.24kb，2次下载）
22.png （20.93kb，2次下载）
23.png （17.93kb，2次下载）
24.png （24.00kb，2次下载）
25.png （14.63kb，2次下载）
26.png （71.63kb，2次下载）
27.png （14.54kb，4次下载）
28.png （12.36kb，2次下载）
29.png （33.15kb，16次下载）
ProcessPeek.7z （3.11MB，91次下载）
插入进程、插入线程.doc （956.50kb，85次下载）
插入进程、插入线程.pdf （0.99MB，125次下载）

收藏・21

免费・3

支持

赞赏记录

参与人

雪币

留言

时间

飘零丶

为你点赞~

2024-5-31 06:56

shinratensei

为你点赞~

2024-5-31 06:51

PLEBFE

为你点赞~

2023-2-21 04:51

最新回复 (11)
Tennn 雪币： 1176 活跃值： (1284) 能力值： ( LV12，RANK：380 ) 在线值：发帖 38 回帖 711 粉丝 64 关注私信	Tennn 5 2 楼楼主3，4，5没有吗 2016-4-19 12:26 0
hackcheni 雪币： 150 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	hackcheni 3 楼支持一下 2016-4-19 12:52 0
coffeesoft 雪币： 3119 活跃值： (1955) 能力值： ( LV8，RANK：130 ) 在线值：发帖 7 回帖 67 粉丝 26 关注私信	coffeesoft 2 4 楼这个请参考总目录 64位Windows创建64位进程逆向分析（总目录） 2016-4-19 13:37 0
myqqi 雪币： 324 活跃值： (60) 能力值： ( LV4，RANK：50 ) 在线值：发帖 29 回帖 161 粉丝 4 关注私信	myqqi 1 5 楼 MARK 2016-4-19 13:47 0
Ox9A82 雪币： 799 活跃值： (462) 能力值： ( LV12，RANK：280 ) 在线值：发帖 18 回帖 116 粉丝 29 关注私信	Ox9A82 3 6 楼感谢分享，总体流程来说相差应该是不大的 2016-4-20 02:34 0
Howsk 雪币： 207 活跃值： (58) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 41 粉丝 1 关注私信	Howsk 7 楼这种精化帖子，我的连续看好几十遍才能看得懂 2016-4-22 08:44 0
elapseyear 雪币： 326 活跃值： (56) 能力值： ( LV3，RANK：30 ) 在线值：发帖 12 回帖 112 粉丝 0 关注私信	elapseyear 8 楼支持一下 2016-4-23 08:17 0
转自重中之重雪币： 4 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 46 粉丝 0 关注私信	转自重中之重 9 楼谢谢分享 2016-4-29 17:33 0
xed 雪币： 129 活跃值： (348) 能力值： ( LV3，RANK：20 ) 在线值：发帖 17 回帖 215 粉丝 3 关注私信	xed 10 楼进来学习。。。。 2016-4-29 20:01 0
gmhzxy 雪币： 284 活跃值： (250) 能力值： ( LV4，RANK：40 ) 在线值：发帖 9 回帖 135 粉丝 14 关注私信	gmhzxy 11 楼很好很好，有点6 2016-5-6 18:54 0
lcmystery 雪币： 205 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	lcmystery 12 楼 2016-5-6 20:34 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

coffeesoft

发帖

回帖

130

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (11)
Tennn 雪币： 1176 活跃值： (1284) 能力值： ( LV12，RANK：380 ) 在线值：发帖 38 回帖 711 粉丝 64 关注私信	Tennn 5 2 楼楼主3，4，5没有吗 2016-4-19 12:26 0
hackcheni 雪币： 150 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	hackcheni 3 楼支持一下 2016-4-19 12:52 0
coffeesoft 雪币： 3119 活跃值： (1955) 能力值： ( LV8，RANK：130 ) 在线值：发帖 7 回帖 67 粉丝 26 关注私信	coffeesoft 2 4 楼这个请参考总目录 64位Windows创建64位进程逆向分析（总目录） 2016-4-19 13:37 0
myqqi 雪币： 324 活跃值： (60) 能力值： ( LV4，RANK：50 ) 在线值：发帖 29 回帖 161 粉丝 4 关注私信	myqqi 1 5 楼 MARK 2016-4-19 13:47 0
Ox9A82 雪币： 799 活跃值： (462) 能力值： ( LV12，RANK：280 ) 在线值：发帖 18 回帖 116 粉丝 29 关注私信	Ox9A82 3 6 楼感谢分享，总体流程来说相差应该是不大的 2016-4-20 02:34 0
Howsk 雪币： 207 活跃值： (58) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 41 粉丝 1 关注私信	Howsk 7 楼这种精化帖子，我的连续看好几十遍才能看得懂 2016-4-22 08:44 0
elapseyear 雪币： 326 活跃值： (56) 能力值： ( LV3，RANK：30 ) 在线值：发帖 12 回帖 112 粉丝 0 关注私信	elapseyear 8 楼支持一下 2016-4-23 08:17 0
转自重中之重雪币： 4 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 46 粉丝 0 关注私信	转自重中之重 9 楼谢谢分享 2016-4-29 17:33 0
xed 雪币： 129 活跃值： (348) 能力值： ( LV3，RANK：20 ) 在线值：发帖 17 回帖 215 粉丝 3 关注私信	xed 10 楼进来学习。。。。 2016-4-29 20:01 0
gmhzxy 雪币： 284 活跃值： (250) 能力值： ( LV4，RANK：40 ) 在线值：发帖 9 回帖 135 粉丝 14 关注私信	gmhzxy 11 楼很好很好，有点6 2016-5-6 18:54 0
lcmystery 雪币： 205 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	lcmystery 12 楼 2016-5-6 20:34 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[原创]64位CreateProcess逆向:（六）新进程、新线程的管理

账号登录 验证码登录

账号登录

验证码登录