以挂起的方式创建进程

BOOL CreateProcess(  
    LPCTSTR lpApplicationName,                 // name of executable module  
    LPTSTR lpCommandLine,                      // command line string  
    LPSECURITY_ATTRIBUTES lpProcessAttributes, // SD  
    LPSECURITY_ATTRIBUTES lpThreadAttributes,  // SD  
    BOOL bInheritHandles,                      // handle inheritance option  
    DWORD dwCreationFlags,                     // creation flags  
    LPVOID lpEnvironment,                      // new environment block  
    LPCTSTR lpCurrentDirectory,                // current directory name  
    LPSTARTUPINFO lpStartupInfo,               // startup information  
    LPPROCESS_INFORMATION lpProcessInformation // process information  

DWORD dwCreationFlags
//此参数指定创建进程的方式，CREATE_NEW_CONSOLE（创建控制台）或者NULL；
//如果创建子进程时设为NULL，则子进程没有控制台，而使用父进程的控制台
//CREATE_SUSPENDED 以挂起的方式创建进程

如果以CREATE_SUSPENDED 以挂起的方式创建进程，系统只会分配4G空间，而不会执行拉伸等后续操作，此时可以就可以对这个空间做一些你懂的事情。
STARTUPINFO ie_si = {0};   								
PROCESS_INFORMATION ie_pi;								
ie_si.cb = sizeof(ie_si);								
								
TCHAR szBuffer[256] = "C:\\notepad.exe";								
CreateProcess(								
	NULL,                  							
	szBuffer,                							
	NULL, 							
	NULL,  							
	FALSE,                   							
	CREATE_SUSPENDED,     							
	NULL,                    							
	NULL,                    							
	&ie_si,                  							
	&ie_pi                  							
	);							
								
//恢复执行								
ResumeThread(ie_pi.hThread);								
																								
2、以挂起的方式创建进程，获取进程的ImageBase和AddressOfEntryPoint								
								
STARTUPINFO ie_si = {0};   								
PROCESS_INFORMATION ie_pi;								
ie_si.cb = sizeof(ie_si);								
								
//以挂起的方式创建进程								
TCHAR szBuffer[256] = "C:\\ipmsg.exe";								
CreateProcess(								
	NULL,                    // name of executable module							
	szBuffer,                // command line string							
	NULL, 					 // SD		
	NULL,  		             // SD					
	FALSE,                   // handle inheritance option							
	CREATE_SUSPENDED,     	 // creation flags  						
	NULL,                    // new environment block							
	NULL,                    // current directory name							
	&ie_si,                  // startup information							
	&ie_pi                   // process information							
	);							
								
								
CONTEXT contx;  								
contx.ContextFlags = CONTEXT_FULL;  								
								
								
GetThreadContext(ie_pi.hThread, &contx);								
								
//获取入口点								
DWORD dwEntryPoint = contx.Eax;								
								
//获取ImageBase								
char* baseAddress = (CHAR *) contx.Ebx+8;								
								
memset(szBuffer,0,256);								
								
ReadProcessMemory(ie_pi.hProcess,baseAddress,szBuffer,4,NULL);								
								
								
ResumeThread(ie_pi.hThread);