前不久写了个小程序：“ProcessList and FI”，他能查看系统的所有进程，并且有效地和FI结合在了一起。当面对一些可疑的进程时就可以快速得调用FI进行更深一步地分析了，可这个小程序仅仅支持WIN9X，到了NT系统中就不能使用了。再写个NT下的进程管理器不如直接改造现有的taskmgr.exe，因为我个人感觉taskmgr.exe还不错！

一：本文所涉及的程序。

    目标程序：taskmgr.exe（Win2000SP4所带的Windows TaskManager(ver5.0.2195.6620)）。
    调用FI的程序：CallFI.exe（在taskmgr.exe中获取指定进程的路径并依此调用FileInfo程序）。
    所需工具：SoftICE、W32dasm、Exescope、LordPE，UltraEdit。

二：分析taskmgr.exe。

    打开taskmgr.exe后选择[进程]标签，右键单击任意一个进程后你会发现弹出了一个菜单，我们可以在里面添加一个菜单项用来调用CallFI.exe程序。
   
    在添加菜单项之前先对其菜单消息处理代码进行定位。定位后就可以修改消息处理代码，处理我们新添加的菜单项事件了。可以用TrackPopupMenuEx()和SendMessageW()作为断点进行定位。先下TrackPopupMenuEx()断点，右键单击进程后就会中断，中断后要按F11，然后选[结束进程]，这时又会出现中断，此时再下SendMessageW()断点，中断后再往下走几步就会找到关键位置了。当然，你也可以直接下SendMessageW()作为断点，但不如前一种方法方便。
   
    下面是其菜单消息处理代码的部分内容：

:010085F6 BA5B9C0000              mov edx, 00009C5B      ――――9C5B(ID=40027,[调试]菜单)
:010085FB 3BCA                    cmp ecx, edx
:010085FD 7F50                    jg 0100864F            ――――所选ID>40027 -> JUMP
:010085FF 7438                    je 01008639            ――――跳到[调试]事件处理代码
:01008601 81E9F0030000            sub ecx, 000003F0
:01008607 7410                    je 01008619
:01008609 49                      dec ecx
:0100860A 49                      dec ecx
:0100860B 0F8492000000            je 010086A3
:01008611 49                      dec ecx
:01008612 7425                    je 01008639
:01008614 E99A000000              jmp 010086B3           ――――退出判断
.
:01008639 85C0                    test eax, eax
:01008648 E8B2FDFFFF              call 010083FF    ――――[调试]事件处理代码
.
:0100864F BA5C9C0000              mov edx, 00009C5C  ――――[结束进程ID]
:01008654 3BCA                    cmp ecx, edx
:01008656 744B                    je 010086A3        ――――[结束进程]事件处理代码
.
:0100866A 81F9A99C0000            cmp ecx, 00009CA9 ――――[结束进程树ID]
:01008670 7541                    jne 010086B3
:0100867B E852070000              call 01008DD2    ――――[结束进程树]事件处理代码
:01008680 EB31                    jmp 010086B3           ――――退出判断

    可以看到这段代码首先和[调试]菜单的ID进行比较，只要ID比40027大，代码就会跳到另外的一个地方再进行判断，直到不满足任何条件退出至：010086B3。这里好象没什么好讲的，只要在退出之前跳到我们的代码就可以了……可究竟选择修改哪里呢？跳到010086B3处的代码有很多，例如：01008614，他是在ID小于40027并且不等于40027的情况下跳出去的，此时寄存器ECX的值已经不再是所选菜单的ID值了。我们要添加的代码首先要判断ECX是否为我们所选菜单的ID值，难道再MOV一次？不好！（其实不判断ID也能正常执行，就是代码不严谨，我在后面的修改中就没有CMP，偷懒……这里还是讲清楚为好。）往下看吧，01008670，他跳到010086B3前ECX的值还是所选菜单的ID值！就选他了！我们新建菜单的ID值比40027大就可以确保程序能执行到那里。我选的是：40066。

   
三：修改taskmgr.exe。

    1，添加菜单项：
    用Exescope插入菜单项时提示没有足够的空间，只好修改原来的分隔线了，将ID改为：40066，名称也只能两个字符了，我写的是：“FI”。

    2，增加输入函数：
    新建菜单项[FI]的功能是运行CallFI.exe，这就要利用ShellExecute()或类似功能的函数。原taskmgr.exe中并没有类似函数的调用，所以我们必须增加一个ShellExecute()。简单介绍一下步骤：
    用LordPE中的[PE Editor]打开taskmgr.exe（记下ImageBase=01000000）。选[Directories]，在Import Table处选[...]，右键单击任意DLL，选[add import]，分别填上：SHELL32.dll，ShellExecuteA，然后分别点：[+]和[OK]。在[Import Table]中选中刚刚添加进去的SHELL32.dll，并将右下脚的[View always FirstThunk]选中，记下ShellExecuteA的ThunkRVA值：0001801C。

    3，寻找空白空间并添加数据和代码：
    空白空间我选的是offset：560。现在再来看看ShellExecute()：

    HINSTANCE ShellExecute(

    HWND hwnd,        // handle to parent window
    LPCTSTR lpOperation,        // pointer to string that specifies operation to perform
    LPCTSTR lpFile,        // pointer to filename or folder name string
    LPCTSTR lpParameters,        // pointer to string that specifies executable-file parameters
    LPCTSTR lpDirectory,        // pointer to string that specifies default directory
    INT nShowCmd         // whether file is shown when opened
    );

    如果要运行CallFI.exe，在C中可以这样写：
    ShellExecute(NULL,"open","F:\\tools\\cracktools\\Fi250\\FI_REG.EXE",NULL, NULL, SW_SHOWNORMAL);

    ShellExecute()共有6个参数，在这里只有两个参数需要存放在空白空间里，即：
    lpOperation="open"，
    lpFile="F:\tools\cracktools\Fi250\CallFI.exe"。//CallFI.exe在计算机中的位置。

    用UltraEdit打开taskmgr.exe，将上面44字节写入offset：560，并记下他们的地址：
    lpOperation=560
    lpFile=568

    这样我们就具备了运行CallFI.exe的条件：

    PUSHAAD        60
    PUSH 01        6A01        ->SW_SHOWNORMAL
    PUSH 00        6A00
    PUSH 00        6A00
    PUSH 01000568  6868050001  ->"F:\tools\cracktools\Fi250\FI_REG.EXE"
    PUSH 01000560  6860050001  ->"open"
    PUSH 00        6A00
    CALL 0001801C  FF151C800101->0101801C(ThunkRVA+ImageBase=0001801C+01000000)
    POPAD          61
    JMP 010086B3   E904810000  退出判断

    用UltraEdit打开taskmgr.exe，将上面31字节写入offset：590。

    当ID值不满足所有条件时，让程序执行我们的代码，将
    :01008670 jne 010086B3
    改为：
    :01008670 jne 01000590

    用UltraEdit搜索754185C0743D替换为0F851A7FFFFF即可。

    现在你就可以试试与FileInfo联手后的进程管理器了，是不是感觉比以前强大了很多呢？

四：相关提示。

    文中提到的CallFI.exe可从我的个人主页下载，CallFI.exe须与FileInfo程序在同一目录，详见其Readme文件。

    我的个人主页：
    http://timw.yeah.net
    http://timw.126.com

五：灌水。

    和其他的PEDIY文章相比本文实属拙文，写出来当个总结吧。水平有限，还请大家多多指教。

    再过几个小时，2004雅典奥运会就正式拉开帷幕了，祝所有的运动员都取得好成绩！

    谢谢大家！

23:09 2004-08-13

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课