//检查是否特定进程中的句柄是否存在。
//返回1代表存在，返回0代表不存在。
DLLEXP WINAPI int FindHandle(DWORD pid,HANDLE hfile)
{
    int iRet = 0;
    if(!pid || !hfile)
    {
        PRINT("[%s]error : pid == 0 or hfile == 0\n",\
            __func__);
        goto QUIT;
    }
    
    if(!FlushSysInfoList())
    {
        PRINT("[%s]FlushSysInfoList Failed!\n",__func__);
        goto QUIT;
    }
    
    if(!lpSysInfoList || !FileType)
    {
        PRINT("[%s]error : lpSysInfoList == NULL or FileType == 0",\
            __func__);
        goto QUIT;
    }
    
    int *pcount = (int*)lpSysInfoList;
    int count = *pcount;
    PSYSTEM_HANDLE_INFORMATION pSHI = (PSYSTEM_HANDLE_INFORMATION)(++pcount);
    for(int i = 0;i < count;++i)
    {
        if(pid == pSHI[i].ProcessId && hfile == pSHI[i].Handle &&\
            FileType == (unsigned)(pSHI[i].ObjectTypeNumber))
        {
            iRet = 1;
            break;
        }
    }
QUIT:
    return iRet;
}

[PART4  : 一些其他问题]

取得特定进程的PE文件名相对而且比较容易，同样可以有多种方法，
比如使用Process32First，Process32Next之类的Win32 API 搞定，偶在这里采
用了其他方法：GetProcessImageFileName ，但这个API在2K中不能用，
遂换成GetModuleFileNameEx 解决。



为了便于重用还写了若干Driver加载函数,分别是:

extern bool NewDrv(PSvrHnds pSH);
extern bool DelDrv(PSvrHnds pSH);
extern bool StartDrv(PSvrHnds pSH);
extern bool DelDrvForce(void);
extern bool CallDrv(PSvrHnds pSH,DWORD Ctrl_Code,void *_in,\
    size_t cbin,void *_out,size_t cbout);

他们只是对Win32 服务API的2次包装，故省去解释。

[PART5  : 尾声+乱弹]

    总的来说，这个版本的unlocker比以前用C#写的功能更强大，效率和稳定性
更高，也更安全。汇编固然强大，但用起来也有繁琐的地方，VB6固然“落后”但
也有她方便贴心的一面，而C#固然先进，但我却偏想找找“麻烦”。难道Gcc就没
有不爽的地方了么？有啊！为啥不像VC那样来个naked函数呢？现在还不得用汇编
来做这件苦差啊。所以世上美没有十全十美的语言，也没有十全十美的人，正所
谓:
     人有悲欢离合，月有阴晴圆缺，此事古难全，但愿人长久，千里共婵娟。（严重跑题中…）。

临时下载地址:http://g.zhubajie.com/urllink.php?id=32400790t31l4iblm80kdxv

                                侯佩|hopy
                             2008-11-10于电心

[/LEFT]

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！