绕过win32 api 调用执行体层函数

最新推荐文章于 2023-06-23 15:34:45 发布

weixin_33936401

最新推荐文章于 2023-06-23 15:34:45 发布

阅读量151

点赞数

文章标签： python

原文链接：https://my.oschina.net/u/2535181/blog/852770

版权

2019独角兽企业重金招聘Python工程师标准>>>

微软开放的win32 api 接口没有提供挂起进程和恢复进程的接口，本来第一个想到的解决方式是遍历进程下的全部线程，然后挂起。但是线程是否挂起，什么时机挂起最终是由windows的线程调度器决定的，这样手动去处理，可能会出现无法预料的问题，为保稳妥需要另寻他法。

其实windows应用层部分的最底层并非api接口层，win32 api 是调用可执行体层（非内核层）实现功能的，其模块名为Ntdll,该模块提供了应用层调用内核模块的功能，实现了安全的从ring3到ring0的的过程。选一个版本的WDK（微软官网可以自由获取）安装，可以找到相关的函数定义,我们用NtSuspendProcess和NtResumeProcess两个函数。现在我们有了模块名和函数名，通过win32 api 获取模块中函数的地址即可调用。

第一步，定义函数指针类型typedef LONG(NTAPI *NTProcessCtrl)(HANDLE hProcess)（因为要调用的两个函数声明相同，所有使用一个类型即可）；

第二步，通过GetProcAddress和GetModuleHandle两个函数获取地址，例：(NTProcessCtrl)GetProcAddress(GetModuleHandle(TEXT("ntdll")), "NtSuspendProcess")；

第三步，没有第三步，获取到函数指针后调用即可。

备注：ntdll 函数是非公开的，所以可能会发生变化，需要注意。

转载于:https://my.oschina.net/u/2535181/blog/852770