修改目标进程的父进程

最新推荐文章于 2024-04-12 10:12:23 发布

happy hell

最新推荐文章于 2024-04-12 10:12:23 发布

阅读量7.4k

点赞数

分类专栏： WINDOWS 开发文章标签： attributes string struct parameters access basic

本文链接：https://blog.csdn.net/happyhell/article/details/3977180

版权

本文深入探讨了如何在操作系统层面上修改已运行的目标进程的父进程ID，涉及进程属性、字符串处理、结构体操作及参数访问等关键概念。

摘要由CSDN通过智能技术生成

来源:http://pjf.blogone.net
作者:pjf(jfpan20000@sina.com)
让小师弟测一下1.06的进程规则，他试了试问：“为什么里面有源进程和父进程两项？不就是指创建目标进程的那个进程，它们不是一个意思吗？”
因为很简单，略略回答了一下，因为好多天没在http://pjf.blogone.net上添东西了，敲下来充数，有点不好意思。
windows下的父进程并不是指创建目标的源进程，而是指将被子进程所“继承”的对象，子进程的很多重要域，像QuotaBlock、DeviceMap、SessionId、Token、process address space之类都从父进程继承而来。父进程是怎么指定的呢？不论是NtCreateProcess还是NtCreateProcessEx参数中都有一个ParentProcess的handle指明了父进程是谁，它并不要求父进程是当前进程，虽然CreateProcessW总是这样做。所以说前面有了“源进程和父进程”之分。
那么具体怎样实现父进程不是当前进程呢？Gary Nebbett在n年前给出了一种代码，修改一下贴出来：

以下内容为程序代码:

#define _WIN32_
#include <stdio.h>
#include <windows.h>

extern "C" {
#define NTAPI __stdcall
typedef struct _PEB *PPEB;
#define PAGE_SIZE 0x1000
typedef LONG NTSTATUS;
#define DECLSPEC_IMPORT __declspec(dllimport)
#define NTSYSAPI DECLSPEC_IMPORT
typedef struct _CLIENT_ID {
HANDLE UniqueProcess;
HANDLE UniqueThread;
} CLIENT_ID;
typedef CLIENT_ID *PCLIENT_ID;
typedef struct _PORT_MESSAGE {
USHORT DataSize;
USHORT MessageSize;
USHORT MessageType;
USHORT VirtualRangesOffset;
CLIENT_ID ClientId;
ULONG MessageId;
ULONG SectionSize;
// UCHAR Data[];
} PORT_MESSAGE, *PPORT_MESSAGE;
typedef struct _UNICODE_STRING {
USHORT Length;
USHORT MaximumLength;
#ifdef MIDL_PASS
[size_is(MaximumLength / 2), length_is((Length) / 2) ] USHORT * Buffer;
#else // MIDL_PASS
PWSTR Buffer;
#endif // MIDL_PASS
} UNICODE_STRING;
typedef UNICODE_STRING *PUNICODE_STRING;
typedef struct _PROCESS_PARAMETERS {
ULONG AllocationSize;
ULONG Size;
ULONG Flags;
ULONG Zero;
LONG Console;
ULONG ProcessGroup;
HANDLE hStdInput;
HANDLE hStdOutput;
HANDLE hStdError;
UNICODE_STRING CurrentDirectoryName;
HANDLE CurrentDirectoryHandle;
UNICODE_STRING DllPath;
UNICODE_STRING ImageFile;
UNICODE_STRING CommandLine;
PWSTR Environment;
ULONG dwX;
ULONG dwY;
ULONG dwXSize;
ULONG dwYSize;
ULONG dwXCountChars;
ULONG dwYCountChars;
ULONG dwFillAttribute;
ULONG dwFlags;
ULONG wShowWindow;
UNICODE_STRING WindowTitle;
UNICODE_STRING Desktop;
UNICODE_STRING Reserved;
UNICODE_STRING Reserved2;
} PROCESS_PARAMETERS, *PPROCESS_PARAMETERS;
#define OBJ_INHERIT 0x00000002L
#define OBJ_PERMANENT 0x00000010L
#define OBJ_EXCLUSIVE 0x00000020L
#define OBJ_CASE_INSENSITIVE 0x00000040L
#define OBJ_OPENIF 0x00000080L
#define OBJ_OPENLINK 0x00000100L
#define OBJ_KERNEL_HANDLE 0x00000200L
#define OBJ_VALID_ATTRIBUTES 0x000003F2L
typedef struct _OBJECT_ATTRIBUTES {
ULONG Length;
HANDLE RootDirectory;
PUNICODE_STRING ObjectName;
ULONG Attributes;
PVOID SecurityDescri