枚举进程：ring3->ring0

最新推荐文章于 2021-11-23 17:39:41 发布
最新推荐文章于 2021-11-23 17:39:41 发布
阅读量196 收藏 2
点赞数
文章标签： php
原文链接：http://www.cnblogs.com/DreamOfGalaxy/articles/4491809.html
版权

链 接: http://bbs.pediy.com/showthread.php?t=106745

用google搜索了几天相关内容的资料，将所提到的逐一实现。哎，不禁感叹自己太菜了。居然用了几天的时间。没啥新思想、内容，只是总结，当然还有其他 方法没总结到。但经常提到的ring3下的快照、psapi的EnumProcesses、暴力OpenProcess;ring0下 的ZwQuerySystemInformation、activprocess链、暴力搜索内存、PspCidTable、Csrss进程的 ObjectTable、进程的SessionProcessList、ZwQuerySystemInformation的全局句柄表、 hook SwapContext.就这么多吧，大牛飘过。算一个枚举进程的科普吧。废话不多说，直接上代码：

ring3：

1.ring3下的快照：

 void main()
{
HANDLE hSnap = CreateToolhelp32Snapshot( TH32CS_SNAPPROCESS, 0 );
if( hSnap == INVALID_HANDLE_VALUE )
{
   cout<<"Create Toolhelp false"<<endl;
   return;
}
PROCESSENTRY32 pEntry32 = {0};
pEntry32.dwSize = sizeof(PROCESSENTRY32);
bool bRes = Process32First( hSnap, &pEntry32 );
int pNums = 0;
while( bRes )
{
   pNums++;
   cout<<"PID:"<<pEntry32.th32ProcessID<<"\t"<<"Path:"<<pEntry32.szExeFile<<endl;
   bRes = Process32Next( hSnap, &pEntry32 );
}
CloseHandle( hSnap );
cout<<"Process Nums:"<<pNums<<endl;

}

 

 效果：

名称: 未命名.jpg 查看次数: 1319 文件大小: 163.0 KB

2.psapi的EnumProcesses

DWORD dProcessIds[1024] = {0};
DWORD dRet = 0;
DWORD dRes = 0;

dRes = EnumProcesses( dProcessIds, sizeof(dProcessIds), &dRet );
if( dRes == 0 )
{
   cout<<"EnumProcesses1 False"<<endl;
   return;
}
int ProcessNums = dRet/sizeof(DWORD);

for( int i = 0; i < ProcessNums; i++ )
   GetProcessPathById( dProcessIds[i] );

cout<<"Process Nums:"<<ProcessNums<<endl;

 

 效果：

名称: 未命名1.jpg 查看次数: 1306 文件大小: 88.7 KB

3.ring3下的暴力枚举:

RaisePrivileges();
for( int i = 0; i <0xffff; i++ )
{
   HANDLE hProcess = OpenProcess( PROCESS_ALL_ACCESS, false, i );
   if( hProcess )
   {
    char ProcessName[MAX_PATH] = {0};
    GetProcessImageFileName( hProcess, ProcessName, MAX_PATH );
    cout<<"PID:"<<i<<"\t"<<"Path:"<<ProcessName<<endl;
   }
}

 

 效果：

名称: 未命名2.jpg 查看次数: 1315 文件大小: 119.3 KB

 

ring0：

1.利用ZwQuerySystemInformation的第5号功能，获取系统进程表

NTSTATUS Status = STATUS_SUCCESS;
NtQuerySystemInformation( 5, pBuff, 0, &uRet );

pBuff = (PCHAR)ExAllocatePool( NonPagedPool, uRet );
pTemp = pBuff;

Status = NtQuerySystemInformation( 5, pBuff, uRet, NULL );
if( NT_SUCCESS(Status) )
{
  
   while( 1 )
   {
    PSYSTEM_PROCESS_INFORMATION pSystemProcessInfo = (PSYSTEM_PROCESS_INFORMATION)pTemp;
    RtlUnicodeStringToAnsiString( &ansi, &pSystemProcessInfo->ImageName, TRUE );
    DbgPrint("PId:%d\t", pSystemProcessInfo->ProcessId);
    DbgPrint("Path:%s\n", ansi.Buffer );
    RtlFreeAnsiString( &ansi );

    if( pSystemProcessInfo->NextEntryOffset == 0 )
     break;
    pTemp = pTemp+pSystemProcessInfo->NextEntryOffset;

   }
}

 

 效果：

名称: 未命名3.jpg 查看次数: 1304 文件大小: 83.3 KB

2.利用ZwQuerySystemInformation的第16号功能，获取系统进程表

 

void DisplayInfo()
{
NTSTATUS Status = STATUS_SUCCESS;
PCHAR pBuff = NULL;
ULONG uNums = 0;
ULONG uRet = 0;
PSYSTEM_HANDLE_INFORMATION_EX pSystemHandle = NULL;

pBuff = (PCHAR)ExAllocatePool( NonPagedPool, 100 );

Status = ZwQuerySystemInformation( 16, pBuff, 100, &uRet );
ExFreePool( pBuff );

pBuff = (PCHAR)ExAllocatePool( NonPagedPool, uRet );

Status = ZwQuerySystemInformation( 16, pBuff, uRet, NULL );
if( NT_SUCCESS(Status) )
{
   ULONG index = 0;
   LONG PId = -1;
   pSystemHandle = (PSYSTEM_HANDLE_INFORMATION_EX)pBuff;
   uNums = pSystemHandle->NumberOfHandles;

   for(; index < uNums; index++ )
   {
    if( pSystemHandle->Information[index].ProcessId != PId )
    {
     PId = pSystemHandle->Information[index].ProcessId;
     Display( pSystemHandle->Information[index].ProcessId );
    }
   }
   
}
else
{
   DbgPrint("NtQuerySystemInformation False");
   return;
}

 

 效果：

名称: 未命名4.jpg 查看次数: 1305 文件大小: 99.6 KB

3.利用进程的ActiveProcessList

 1 void DisplayInfo()
 2 {
 3 PEPROCESS pEprocess = NULL, pTemp = NULL;
 4 pEprocess = PsGetCurrentProcess();
 5 pTemp = pEprocess;
 6 do 
 7 {
 8    DbgPrint("PId:%d\t", *(PULONG)((ULONG)pTemp+0x084) );
 9    DbgPrint("Path:%s\n", (PUCHAR)((ULONG)pTemp+0x174 ));
10    pTemp = (PEPROCESS)( (ULONG)(*(PULONG)((ULONG)pTemp+0x088)) - 0x088 );
11 
12 } while ( pTemp != pEprocess );
13 }

 

效果：

名称: 未命名5.jpg 查看次数: 1296 文件大小: 78.9 KB

 

4.ring0下暴力搜索内存

 1 void DisplayInfo()
 2 {
 3     ULONG uStartAddr = 0x80000000;
 4     PEPROCESS pCurrent = PsGetCurrentProcess();
 5 
 6     // ULONG uPetAddr = (ULONG)PsGetProcessPeb( pCurrent );
 7     DbgPrint("PId:%d\tPath:%s\n", *(PULONG)((ULONG)pCurrent+0x084), (PUCHAR)((ULONG)pCurrent+0x174));
 8 
 9     for(; uStartAddr < (ULONG)pCurrent+0x800000; uStartAddr += 4 )
10     {
11        ULONG uRet = IsValidAddr( uStartAddr );
12        if( uRet == VALID_PAGE )
13        {
14             if( ( *(PULONG)uStartAddr & 0xffff0000) == 0x7ffd0000 )
15             {
16                  if( IsRealProcess(uStartAddr - 0x1b0) )
17                  {
18                       PLARGE_INTEGER pExitTime = (PLARGE_INTEGER)(uStartAddr-0x1b0+0x078);
19                       if( pExitTime->QuadPart == 0 )
20                       {
21                            DbgPrint("PId:%d\tPath:%s\n", *(PULONG)(uStartAddr-0x1b0+0x084), (PUCHAR)(uStartAddr-0x1b0+0x174));
22                       }
23      
24                       uStartAddr -= 4;
25                       uStartAddr += 0x25c;
26                  }
27             }
28        }
29        else if( uRet == PDEINVALID )
30        {
31             uStartAddr -= 4;
32             uStartAddr += 0x400000;
33        }
34        else
35        {
36             uStartAddr -= 4;
37             uStartAddr += 0x1000;
38        }
39     }
40 }

效果：

名称: 未命名6.jpg 查看次数: 1299 文件大小: 114.2 KB

5.PspCidTable

  1 void DisplayInfo()
  2 {
  3 ULONG pCidTableAddr = 0;
  4 PHANDLE_TABLE pCidHandleTable = NULL;
  5 PHANDLE_TABLE_ENTRY pTable1, *pTable2, **pTable3;
  6 ULONG pRealHandleTable = 0;
  7 ULONG level = 0;
  8 ULONG uMax_Handle = 0;
  9 
 10 pCidTableAddr = GetCidTableAddr();
 11 pCidHandleTable = (PHANDLE_TABLE)(*(PULONG)pCidTableAddr);
 12 level = (pCidHandleTable->TableCode) & 0x3;
 13 pRealHandleTable = (pCidHandleTable->TableCode) & ~0x3;
 14 uMax_Handle = pCidHandleTable->NextHandleNeedingPool;
 15 
 16 switch( level )
 17 {
 18 case 0:
 19    {
 20     ULONG index = 0;
 21     pTable1 = (PHANDLE_TABLE_ENTRY)(pRealHandleTable);
 22     for( index = 0; index < MAX_ENT_CNT; index++ )
 23     {
 24      if( pTable1[index].Object != NULL )
 25      {
 26       ULONG pObject = (ULONG)(pTable1[index].Object) & ~7 ;
 27       if( MmIsAddressValid((PULONG)(pObject - 0x10)) )
 28       {
 29        POBJECT_TYPE pType = (POBJECT_TYPE)(*(PULONG)(pObject - 0x10));
 30        if( pType == *PsProcessType )
 31        {
 32         DbgPrint("PId:%d\tPath:%s\n", index*4, PsGetProcessImageFileName((PEPROCESS)pObject) );
 33        }
 34       }
 35      
 36      }
 37     }
 38     break;
 39    }
 40 case 1:
 41    {
 42     ULONG index = 0;
 43     pTable2 = (PHANDLE_TABLE_ENTRY*)(pRealHandleTable);
 44     for( index = 0; index < uMax_Handle/(4*MAX_ENT_CNT); index++ )
 45     {
 46      pTable1 = pTable2[index];
 47      if( pTable1 == NULL )
 48       break;
 49      else
 50      {
 51       ULONG i = 0;
 52       for( i = 0; i < MAX_ENT_CNT; i++ )
 53       {
 54        if( pTable1[i].Object != NULL )
 55        {
 56         ULONG pObject = (ULONG)(pTable1[i].Object) & ~7;
 57         if( MmIsAddressValid( (PULONG)(pObject-0x10) ) )
 58         {
 59          POBJECT_TYPE pType = (POBJECT_TYPE)(*(PULONG)(pObject-0x10));
 60          if( pType == *PsProcessType )
 61          {
 62           DbgPrint("PId:%d\tPath:%s\n", index*MAX_ENT_CNT*4+i*4, PsGetProcessImageFileName((PEPROCESS)pObject) );
 63          }
 64         }
 65        
 66        }
 67       }
 68      }
 69     }
 70     break;
 71    }
 72 case 2:
 73    {
 74     ULONG index = 0;
 75     pTable3 = (PHANDLE_TABLE_ENTRY**)(pRealHandleTable);
 76     for( index = 0; index < uMax_Handle/(MAX_ADD_CNT*MAX_ENT_CNT*4); index++ )
 77     {
 78      ULONG i = 0;
 79      pTable2 = (PHANDLE_TABLE_ENTRY*)((ULONG)pTable3[index] & ~0x3);
 80      if( pTable2 == NULL )
 81       break;
 82      for( i = 0; i < MAX_ADD_CNT; i++ )
 83      {
 84      
 85       pTable1 = pTable2[i];
 86       if( pTable1 == NULL )
 87        break;
 88       else
 89       {
 90        ULONG j = 0;
 91        for( j = 0; j < MAX_ENT_CNT; j++ )
 92        {
 93         if( pTable1[j].Object != NULL )
 94         {
 95          ULONG pObject = (ULONG)(pTable1[j].Object) & ~7;
 96          if( MmIsAddressValid( (PULONG)(pObject-0x10) ) )
 97          {
 98           POBJECT_TYPE pType = (POBJECT_TYPE)(*(PULONG)(pObject-0x10));
 99           if( pType == *PsProcessType )
100           {
101            DbgPrint("PId:%d\tPath:%s\n", index*MAX_ADD_CNT*MAX_ENT_CNT*4+i*MAX_ENT_CNT*4+j*4,\
102             PsGetProcessImageFileName((PEPROCESS)pObject) );
103           }
104          }
105         }
106        
107 
108        }
109 
110       }
111      }
112 
113     }
114 
115    }
116    break;
117 }
118 
119 
120 }

效果：

名称: 未命名7.jpg 查看次数: 1296 文件大小: 125.5 KB

6.Inline Hook KiSwapContext

 1 _declspec(naked) void MySwapContext()
 2 {
 3 _asm
 4 {
 5    pushad
 6     pushfd
 7     cli
 8 }
 9 _asm
10 {
11    push esi
12     push edi
13     call ShowProcess
14 }
15 
16 _asm
17 {
18    sti
19     popfd
20     popad 
21 }
22 _asm jmp DWORD PTR[pBackAddr]
23   
24 }

效果：

名称: 未命名8.jpg 查看次数: 1293 文件大小: 80.1 KB

7.Csrss进程中枚举进程

  1 void DisplayInfo()
  2 {
  3 PEPROCESS pEProcess = NULL;
  4 
  5 NTSTATUS Status = STATUS_SUCCESS;
  6 PHANDLE_TABLE pObjectTable = NULL;
  7 PHANDLE_TABLE_ENTRY table1, *table2, **table3;
  8 ULONG level;
  9 ULONG pRealHandleTable;
 10 ULONG uHandleCount;
 11 
 12 pEProcess = GetCsrssObject();
 13 
 14 pObjectTable = (PHANDLE_TABLE)(*(PULONG)((ULONG)pEProcess + 0xc4));
 15 level = pObjectTable->TableCode & 3;
 16 pRealHandleTable = pObjectTable->TableCode & ~3;
 17 uHandleCount = pObjectTable->NextHandleNeedingPool;
 18 switch( level )
 19 {
 20 case 0:
 21    {
 22     ULONG index = 0;
 23     table1 = (PHANDLE_TABLE_ENTRY)pRealHandleTable;
 24     for( index = 0; index < MAX_ENT_CNT; index++ )
 25     {
 26      ULONG pObject = (ULONG)(table1[index].Object) & ~7;
 27      if( MmIsAddressValid( (PULONG)(pObject+0x8) ) )
 28      {
 29       POBJECT_TYPE pType = (POBJECT_TYPE)(*(PULONG)(pObject+0x8));
 30       if( pType == *PsProcessType )
 31       {
 32        PEPROCESS pAddr = (PEPROCESS)(pObject+0x18);
 33        DbgPrint("PId:%d\tPath:%s\n", *(PULONG)((ULONG)pAddr+0x84), (PUCHAR)((ULONG)pAddr+0x174) );
 34       }
 35      }
 36     }
 37     break;
 38 
 39    }
 40 case 1:
 41    {
 42     ULONG index = 0;
 43     table2 = (PHANDLE_TABLE_ENTRY*)pRealHandleTable;
 44     for( index = 0; index < uHandleCount/MAX_ENT_CNT; index++ )
 45     {
 46      ULONG i = 0;
 47      table1 = table2[index];
 48      if( table1 == NULL )
 49       break;
 50      for( i = 0; i < MAX_ENT_CNT; i++ )
 51      {
 52       ULONG pObject = (ULONG)(table1[i].Object) & ~7;
 53       if( MmIsAddressValid( (PULONG)(pObject+0x8) ) )
 54       {
 55        POBJECT_TYPE pType = (POBJECT_TYPE)(*(PULONG)(pObject+0x8));
 56        if( pType == *PsProcessType )
 57        {
 58         ULONG pAddr = (ULONG)(pObject+0x18);
 59         DbgPrint("PId:%d\tPath:%s\n", *(PULONG)(pAddr+0x84), (PUCHAR)(pAddr+0x174) );
 60        }
 61       }
 62 
 63      }
 64     
 65     }
 66     break;
 67    }
 68 case 2:
 69    {
 70     ULONG index = 0;
 71     table3 = (PHANDLE_TABLE_ENTRY**)pRealHandleTable;
 72     for( index = 0; index < uHandleCount/(MAX_ENT_CNT*MAX_ADD_CNT); index++ )
 73     {
 74      ULONG i = 0;
 75      table2 = table3[index];
 76      if( table2 == NULL )
 77       break;
 78      for( i = 0; i < MAX_ADD_CNT; i++ )
 79      {
 80       ULONG j = 0;
 81       table1 = table2[i];
 82       if( table1 == NULL )
 83        break;
 84       for( j = 0; j < MAX_ENT_CNT; j++ )
 85       {
 86        ULONG pObject = (ULONG)(table1[j].Object) & ~7;
 87        if( MmIsAddressValid( (PULONG)(pObject+0x8) ) )
 88        {
 89         POBJECT_TYPE pType = (POBJECT_TYPE)(*(PULONG)(pObject+0x8));
 90         if( pType == *PsProcessType )
 91         {
 92          ULONG pAddr = (ULONG)(pObject+0x18);
 93          DbgPrint("PId:%d\tPath:%s\n", *(PULONG)(pAddr+0x84), (PUCHAR)(pAddr+0x174) );
 94         }
 95        }
 96      
 97       }
 98      }
 99    
100     }
101     break;
102    }
103 }
104 
105 }

效果：

名称: 未命名9.jpg 查看次数: 1289 文件大小: 105.9 KB

8.SessionProcessList枚举

 1 void DisplayInfo()
 2 {
 3 PEPROCESS pEProcess = PsGetCurrentProcess();
 4 PEPROCESS pTemp = pEProcess;
 5 DbgPrint("PId:%d\tPath:%s\n", *(PULONG)((ULONG)pTemp+0x84), (PUCHAR)((ULONG)pTemp+0x174) );
 6     pTemp = (PEPROCESS)( *(PULONG)(*(PULONG)((ULONG)pTemp + 0x8c) + 0x4) - 0x88 );//取用户进程
 7 pEProcess = pTemp;
 8 do 
 9 {
10 
11    if( MmIsAddressValid(pTemp) )
12    {
13     DbgPrint("PId:%d\tPath:%s\n", *(PLONG)((LONG)pTemp+0x84), (PUCHAR)((ULONG)pTemp+0x174) );
14     pTemp = (PEPROCESS)(*(PULONG)((ULONG)pTemp+0xb4) - 0xb4 );
15    }
16    else
17     break;
18   
19 } while ( pEProcess != pTemp );
20 
21 }

效果：

名称: 未命名10.jpg 查看次数: 1279 文件大小: 113.5 KB

 

就总结了这些。一直以来自己都是零零散散地学习，最近想系统地对内核进行学习，就先从进程开始了。下次再针对以上的枚举方法，进程隐藏。

 

转载于:https://www.cnblogs.com/DreamOfGalaxy/articles/4491809.html

dog0230
关注
使用WTSEnumerateProcesses枚举进程--Ring3枚举进程
KOOKNUT的博客
05-09 1144
接下来介绍的这种枚举当前系统进程的方法是通过wtsapi32.dll提供的API来实现。主要用到了以下两个函数： WTSOpenServerA WTSEnumerateProcessesA 我们来简单介绍一下这两个函数： /*************************************** *WTSOpenServer函数打开指定终端服务器的句柄 *pServerName：指向终端服务器的NetBIOS名称的指针。 **************************************
Ring 3层枚举进程的四种方法
对着世界说你好
01-08 6420
1.CreateToolhelp32Snapshot（）。这一种是比较常见的，利用进程快照进行枚举进程，主要利用CreateToolhelp32Snapshot（）、Process32First（）和 Process32Next（）三个函数。下面直接上代码：// CreateToolhelp32Snapshot.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h
ring0 暴力枚举进程
aijuzhou1959的博客
08-25 199
原理：遍历进程ID，然后openprocess，能打开的都枚举出来 ring0 ： #include "EnumProcessByForce.h" extern char* PsGetProcessImageFileName(PEPROCESS EProcess); extern POBJECT_TYPE* PsProcessType; NTSTATUS ...
枚举进程的两种方式
Blovesea的专栏
07-22 365
#include "stdafx.h" #include #include #include #include #pragma comment(lib, "Psapi.lib") int main(int argc, char* argv[]) { //系统快照获取系统信息 // 创建一个当前系统的快照 HANDLE hProcessSnap =  Create
进程句柄
zhuhuibeishadiao
04-04 1599
时隔2个月 发现下面有部分理论是错的 句柄表是有三层 在WRK中已有明确定义 EPROCESS下有一个ObjectType保存的这个进程的句柄表 ObjectType的值为_HANDER_TABLE  这个结构中有一个TableCode成员  如果TableCode里的成员值最后三位不为0 则表示是多维数组，我们只需要第一层 第一层直接指向了Object_header 结构 得到的方
进程的枚举
kingswb的博客
05-02 669
1、利用ToolHelp API 首先创建一个系统快照，然后通过对系统快照的访问完成进程的枚举。 获取系统快照使用CreateToolhelp32Snapshot() 函数 函数原型声明如下： HANDLE WINAPI CreateToolhelp32Snapshot(                DWORD dwFlags,                DWOR
[转载]侦测隐藏进程
yanjingtu2008的专栏
11-05 1804
侦测隐藏进程Detection of the hidden processes俄语原文:http://wasm.ru/article.php?article=hiddndt俄文翻译:kaohttp://community.reverse-engineering.net/viewtopic.php?t=4685中文翻译: prince后期校验：firstrose=================
ring0驱动层上实现 隐藏进程(无进程 无端口 无服务)的简单demo.zip
01-24
3. **内存管理**：隐藏进程还需要处理内存分配和管理，确保进程的内存空间不被其他非ring0代码发现。这可能涉及在内核地址空间中分配内存，并避免在用户模式下可见。 4. **I/O管理**：隐藏进程通常会避免使用常规的...
ring0驱动级 隐藏进程 的源代码_在驱动层通过替换ssdt地址表中的api函数来隐藏进程
01-25
Ring0驱动级编程指的是在操作系统的最高权限级别——Ring0执行的代码，这里的"ring0"指的是CPU的特权级别，它赋予了程序对硬件的直接访问权以及对操作系统服务的完全控制。在Windows系统中，驱动程序通常由系统服务...
编写ring0内核驱动程序,检测隐藏进程.zip
01-25
1. **枚举进程**：使用内核API，如 ZwQuerySystemInformation(SystemProcessInformation) 来获取系统中所有进程的信息，这将返回一个包含所有进程的结构体数组。 2. **进程检查**：对枚举到的每个进程，检查其是否...
用户态枚举进程的几种方法
jingzhongrong
02-13 2084
最近在准备一个进程查看（当然不只进程查看功能了）的工具，总结了在用户态下查找进程的几种方法。当然，如果想要真正做到进程查看，还是要进入核心态中，因为在用户态是查不到什么东西的，但是可以用来和核心态结果进行比较找出隐藏进程。（内核级病毒、木马在Ring0中可以很容易的做到隐藏而是用户态程序检测不到）。//write by jingzhongrong1、利用ToolHelp API
侦测隐藏进程的强文
04-22 6079
俄语原文:http://wasm.ru/article.php?article=hiddndt俄文翻译:kaohttp://community.reverse-engineering.net/viewtopic.php?t=4685中文翻译: prince后期校验：firstrose=============================侦测隐藏进程[C] Ms-Rem2002-2005 was
(转) SYSTEM_HANDLE_INFORMATION中ObjectTypeIndex的定义
小驹的专栏
11-03 4890
typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO{ USHORT UniqueProcessId; USHORT CreatorBackTraceIndex; UCHAR ObjectTypeIndex; UCHAR HandleAttributes; USHORT HandleValue; PVOID Object; ULONG Gran
涨姿势系列之——内核环境下花式获得CSRSS进程id
weixin_30291791的博客
06-02 171
这个是翻别人的代码时看到的，所以叫涨姿势系列。作者写了一个获取CSRSS进程PID的函数，结果我看了好久才看懂是这么一个作用。先放上代码 1 HANDLE GetCsrPid() 2 { 3 HANDLE Process, hObject; 4 HANDLE CsrId = (HANDLE)0; 5 OBJECT_ATTRIBUTES obj; ...
通过遍历系统句柄信息(SystemHandleInformation),获取系统进程和当前进程的eprocess
热门推荐
pureman_mega的博客
11-23 1万+
实验环境：win10 1909 64 参考：https://blog.csdn.net/qinlicang/article/details/4489727 首先，获取系统的句柄信息；然后，在句柄信息表中进行搜索，通过数据结构进行匹配；最后，确定系统进程和当前进程的eprocess; 主要数据结构如下： typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO { USHORT UniqueProcessId; USHORT CreatorBack
_SYSTEM_PROCESS_INFORMATION
denggengwen3333的博客
08-02 1974
#ifdef _WIN64typedef __int64 KPRIORITY;#elsetypedef long KPRIORITY;#endiftypedef struct _SYSTEM_THREAD_INFORMATION{ LARGE_INTEGER KernelTime; LARGE_INTEGER UserTime; LARGE_INTEGER CreateTime; ULO...
枚举进程的几种方法
cay22的专栏
07-29 1062
http://www.cctry.com/thread-11857-1-1.html 1.CreateToolhelp32Snapshot法：(me 使用过) // /////////////////////////////////////////////////////////
枚举系统中打开的句柄
10-21 4861
删除系统中的文件会提示 有进程已经打开了这个文件会导致不能删除该文件在网上找到了在ring3下实现文件碎甲的一篇介绍：在ring3上实现文件碎甲功能其中首先需要实现的就是需要枚举出系统中每个进程打开的文件句柄枚举进程 枚举句柄 这些功能都需要用到从Ntdll.dll中导出系统内核函数比如函数 ZwQuerySystemInformation ZwQueryInformationPr
进程结构体
qq_41490873的博客
05-28 882
kd> dt _EPROCESS +0x000 Pcb : _KPROCESS +0x06c ProcessLock : _EX_PUSH_LOCK +0x070 CreateTime : _LARGE_INTEGER +0x078 ExitTime : _LARGE_INTEGER +0x080 RundownProtect ...
c++中的.和::和：和->的区别
最新发布
06-07
在C++中，`.`、`::`、`:`和`->`都是用来访问对象或类的成员，但它们的使用方式和语义略有不同。 `.`运算符用于访问对象的成员，例如： ``` MyClass obj; obj.member; // 使用 . 访问对象 obj 的成员 ``` `::`...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值