2011年03月_yiyefangzhou24

10月 09月 07月 05月 03月 01月

一大早的来到图书馆还把我的本本抗来了，就为了写一篇博客。 这个博客其实说来挺愧疚的，原理搞错了，却也实现了预期之外的功能，如题R3下的自身进程守护。 昨天下午和“列宁”交流了一下午，才发现原来我本来的构想就是错误的，我本想挂钩Terminateprocess的函数达到禁止制定进程被结束的，但是意外的把挂钩的原理搞错了，程序倒是写了一堆，就是不能实现功能。把我给急的，后来昨天下午偶遇高人“列宁”，探讨了一下午，我终于搞清楚我的错误在哪里，（其

2011-03-13 08:54:00 2699

原创 NtQueryInformationProcess用法

从所周知，在Windows NT/2000系统的API黑洞之一便是NTDLL.DLL,此DLL包含了许多未公开的API函数。本文将列举一、二，并以如何获取任何指定进程的父进程ID为例作为示范。 NTDLL.DLL中有一个函数叫NtQueryInformationProcess，用它可以将指定类型的进程信息拷贝到某个缓冲。其原型如下： NTSYSAPI NTSTATUS NTAPI NtQueryInformationProces

2011-03-12 08:51:00 20501

原创 R3下设置全局钩子截获键盘记录

呵呵，最近博客写的有点频繁，我这个人耐不住性子，有点东西就要拿出来让大家分享一下，虽然不一定都是好的。 最近一直在做HOOK，从内核驱动到用户层的API函数，基本上都尝试过了，昨天下午搞了一下午，写了一个R3下设置全局钩子截获键盘记录的小程序，虽然网上可能多得是，但是我认为菜鸟贵在自己动手做，哪怕是从网上从书上借鉴来的，你都要自己理解以后上机动手做一遍，这样你会发现很多你以前从未发现过的东西。 不扯淡了，直接看代码。另注：像我们这种菜鸟的代码一般都有点

2011-03-08 10:54:00 3833 8

原创 SSDT HOOK禁止指定进程结束

经过两个星期的折腾，SSDT HOOK终于成功了，在这里首先感谢论坛里的一位大神，真的是非常感谢，他的ID是什么记不得了，加了他的好友，记得他的名字下面写着列宁两个字，呵呵很有趣的名字啊，想加的人可以看一看我发的帖子。这里闲扯淡两句，论坛里的大神级别的人物还是不少的，我们不能用等级来衡量一个人的知识水平，就像那天看到一个急聘c++高级程序员的帖子，两星级以上的用户优先录取，我觉着吧，这是不明智的举动，我认识的那位内核大神就是五裤衩的裤衩级用户。有人说的对，裤衩级的大神多得是，星级的菜鸟也到处都是。

2011-03-08 09:35:00 3112

原创 HOOK分发函数实现截获键盘输入

关心我的同志们可能又要说了，哈哈，这个菜鸟又要发话了，嘿嘿，我菜鸟我荣幸。 最近的编程走向白热化，因为刚开学，所以时间比较多，所以经常泡图书馆。下决心这学期一定搞定内核级编程，大话放出去了，实现与否还得看造化了。 刚刚迈入驱动程序设计的老高的门槛，发现原来困难重重，内核程序设计不同于一般的用户层的接口程序设计，有大量的帮助资料，网上的，MSDN，论坛里的，各种各样，连绵不绝。到了内核态，帮助资料也少了，论坛的回复也少了，错误也比以前更难调试了，所以一下子不知道咋办，手足无措，

2011-03-03 20:15:00 3472 6