灰帽子python 学习记录 3

本篇的课题是附加进程。这个灰常坑爹，昨天没搞定，今天才搞好。

跟上篇产生进程不同，附加进程为附加到一个指定的进程，这样可以跳过启动步骤。

首先还是惯例，按书上的代码抄了一遍，写下一点理解吧：

步骤：

1，通过pid获取进程句柄，调用函数为OpenProcess

2，通过句柄附加进程，调用函数为DebugActiveProcess

3，通过WaitForDebugEvent捕获调试事件

4，通过ContinueDebugEvent继续执行

5，通过DebugActiveProcessStop分离出来，结束附加状态

今天要搞定的是1,2,5步。。。

首先获取进程句柄：

h_process = kernel32.OpenProcess(PROCESS_ALL_ACCESS,False,pid) 

然后附加：

kernel32.DebugActiveProcess(pid):

是不是看起来很简单。。。然而书里面把OpenProcess函数的第2和第3个参数搞反了顺序，所以一开始一直报错87号错误码，查msdn发现是参数错误。然后查OpenProcess文档发现了。。。

实验结果是附加qq后不分离的话qq会自动退出，chrome也差不多。而且每次获取到的handle值都不一样，好奇怪啊。

附错误码对照表：

https://msdn.microsoft.com/en-us/library/windows/desktop/ms681381(v=vs.85).aspx