首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]在内核获得的进程完全路径无法转换
发表于: 2009-7-8 17:40 5257

[求助]在内核获得的进程完全路径无法转换

cscoder 活跃值
5
2009-7-8 17:40
5257
我通过SSDT HOOK 钩住了几个对文件操作的函数，在钩子函数里想获得对文件进行操作的进程的完全路径，通过在看雪上查资料，我知道进程的完全路径保存在PEB里面的一个_RTL_USER_PROCESS_PARAMETERS 结构体当中的ImageFullPath字段中，但是这个值是UNICODE_STRING 类型的，我想要从ring0传给ring3 必须将其转换为ANSI_STRING，但是发现有的进程的完全路径在转换的时候程序可以正常运行，但是有些进程执行到RtlUnicodeStringToAnsiString就会发生 内存访问异常！
请教大家该如何解决

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・1
支持
分享
最新回复 (4)
cscoder
雪    币： 403
活跃值： (330)
能力值： ( LV12，RANK：230 )
在线值：
发帖
回帖
粉丝
私信
2 楼
麻烦大家帮我想想啊~
2009-7-9 15:12
0
cscoder
雪    币： 403
活跃值： (330)
能力值： ( LV12，RANK：230 )
在线值：
发帖
回帖
粉丝
私信
3 楼
谢谢大家啦~
2009-7-9 15:13
0
ymsw
雪    币： 202
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
是否申请足够的内存来保存该字符串了？ 转换的时候的输入内存块与输出的内存块是否都保证不会越界
2009-7-10 11:06
0
loqich
雪    币： 952
活跃值： (1821)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
可能是PEB中的信息在非分内存 而因为没有Lock 所以蓝了
2009-7-10 11:23
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//