能力值：
( LV5，RANK：60 )
|
-
-
2 楼
bp nt!NtCreateProcessEx
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
放学打我不
bp nt!NtCreateProcessEx
大佬这个只能暂停所有的新建进程吧，如果想暂停指定名字的进程怎么操作呢？
|
能力值：
( LV3，RANK：30 )
|
-
-
4 楼
挂个Process回调 然后判断进程名DbgBreakPoint
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
不吃麻婆豆腐
挂个Process回调 然后判断进程名DbgBreakPoint
我是想监视新建进程是否被远程注入，跟书上展示的一样刚好断在非法模块的nt!NtCreateThread上，然而书上并没有说明怎么断下来的，求指教是否能做到？
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
不吃麻婆豆腐
挂个Process回调 然后判断进程名DbgBreakPoint
并不是直接bp nt!NtCreateThread，这样导致全部线程都断下，系统基本都在创建新线程，有没有办法断下指定进程的nt!NtCreateThread
|
能力值：
( LV5，RANK：60 )
|
-
-
7 楼
.process /p eprocess 然后bp /p eprocess ntdll!NtCreateThread
|
能力值：
( LV5，RANK：60 )
|
-
-
8 楼
远程线程？
那就自己看吧 这是线程创建流程
CreateThread(包括远程线程)->ntdll!NtCreateThread(Ex)->内核设置上下文->回到被创建线程对应进程上下文ntdll!LdrInitializeThunk->ntdll!LdrpInitialize->ntdll!->ntdll!_LdrpInitialize->ntdll!LdrpInitializeThread->如果exe有Tls call LdrpCallTlsInitializers(2, LdrpImageEntry)没有忽略->ntdll!LdrpCallInitRoutine通知其它dll线程创建->ZwContrine->内核恢复上下文重设新线程入口点为ntdll!RtlUserThreadStart
然后线程就跑起来了
ntdll!RtlUserThreadStart->kernel32!BaseThreadInitThunk->call UserThreadEntry->ntdll!RtlExitUserThread->ntdll!ZwTerminateThread
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
放学打我不
远程线程？
那就自己看吧 这是线程创建流程
CreateThread(包括远程线程)->ntdll!NtCreateThread(Ex)->内核设置上下文->回到被创建线程对应进 ...
非常感谢了
|
|
|
