[求助]关于监视进程打开的文件问题。-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (5)
achillis 雪币： 7651 活跃值： (523) 能力值： ( LV9，RANK：610 ) 在线值：发帖 32 回帖 2032 粉丝 47 关注私信	achillis 15 2 楼我说下我知道的方法： 1.得到目标进程的pid(这个容易吧？)，然后ZwQuerySystemInformation枚举系统中所有句柄，然后判断类型是文件且属于目标进程的（由pid判断） 2.判断是否独占我不清楚，强行关闭可以ZwDuplicateObject，注意最后一个参数使用DUPLICATE_CLOSE_SOURCE，到本进程以后再ZwClose就可以了。 ps:最近在玩Native API,所以前面提到的函数都是Native的~~ 2008-9-15 14:14 0
炉子雪币： 66 活跃值： (16) 能力值： ( LV8，RANK：130 ) 在线值：发帖 4 回帖 317 粉丝 1 关注私信	炉子 3 3 楼 nativeapi是个好东西除了它们的声明 - - 2008-9-15 21:18 0
nevergone 雪币： 63 活跃值： (17) 能力值： ( LV8，RANK：130 ) 在线值：发帖 5 回帖 270 粉丝 0 关注私信	nevergone 3 4 楼调用nativeapi时特讨厌写声明写getprocaddress 用asm写 2008-9-15 22:31 0
achillis 雪币： 7651 活跃值： (523) 能力值： ( LV9，RANK：610 ) 在线值：发帖 32 回帖 2032 粉丝 47 关注私信	achillis 15 5 楼用ntdll sdk就行了 2008-9-16 12:30 0
oldK 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 62 粉丝 0 关注私信	oldK 6 楼恩感谢。我看了下nt内核系统有个记录每个pid包含了这些内容 2008-10-1 00:04 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (5)
achillis 雪币： 7651 活跃值： (523) 能力值： ( LV9，RANK：610 ) 在线值：发帖 32 回帖 2032 粉丝 47 关注私信	achillis 15 2 楼我说下我知道的方法： 1.得到目标进程的pid(这个容易吧？)，然后ZwQuerySystemInformation枚举系统中所有句柄，然后判断类型是文件且属于目标进程的（由pid判断） 2.判断是否独占我不清楚，强行关闭可以ZwDuplicateObject，注意最后一个参数使用DUPLICATE_CLOSE_SOURCE，到本进程以后再ZwClose就可以了。 ps:最近在玩Native API,所以前面提到的函数都是Native的~~ 2008-9-15 14:14 0
炉子雪币： 66 活跃值： (16) 能力值： ( LV8，RANK：130 ) 在线值：发帖 4 回帖 317 粉丝 1 关注私信	炉子 3 3 楼 nativeapi是个好东西除了它们的声明 - - 2008-9-15 21:18 0
nevergone 雪币： 63 活跃值： (17) 能力值： ( LV8，RANK：130 ) 在线值：发帖 5 回帖 270 粉丝 0 关注私信	nevergone 3 4 楼调用nativeapi时特讨厌写声明写getprocaddress 用asm写 2008-9-15 22:31 0
achillis 雪币： 7651 活跃值： (523) 能力值： ( LV9，RANK：610 ) 在线值：发帖 32 回帖 2032 粉丝 47 关注私信	achillis 15 5 楼用ntdll sdk就行了 2008-9-16 12:30 0
oldK 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 62 粉丝 0 关注私信	oldK 6 楼恩感谢。我看了下nt内核系统有个记录每个pid包含了这些内容 2008-10-1 00:04 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复