-
-
[求助]HOOK了NtCreateFile，如何得到返回的句柄？
-
发表于:
2008-10-6 09:24
6683
-
[求助]HOOK了NtCreateFile，如何得到返回的句柄？
我 SSDT HOOK了NtCreateFile函数。该函数原型如此：
NtCreateFile(
PHANDLE FileHandle,
ACCESS_MASK DesiredAccess,
POBJECT_ATTRIBUTES ObjectAttributes,
PIO_STATUS_BLOCK IoStatusBlock,
PLARGE_INTEGER AllocationSize,
ULONG FileAttributes,
ULONG ShareAccess,
ULONG CreateDisposition,
ULONG CreateOptions,
PVOID EaBuffer,
ULONG EaLength)
第一个参数是返回值，可以看出与句柄相关。其实这就是一个地址，返回的句柄就在这个地址，在用户空间。但是当我尝试读取的时候这个值总是发生了改变。请问我如何才能正确得到返回的句柄？
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
