首页
论坛
专栏
课程

[求助]PspProcessOpen

WhiteLearner 2018-1-26 22:27 1061
求助大佬。。PspProcessOpen的函数定义是啥,x86和x64的参数相同不?
这几天在搞ObjectHook,不知道这个东西应该怎么定义。。
虽然用windbg看到了汇编。。但是菜鸟表示看汇编很有压力。。看不懂。。


[推荐]十年磨一剑!《加密与解密(第4版)》上市发行

最新回复 (13)
叭叭叭 2018-1-26 22:56
2

0

此楼层已删除
Tennn 5 2018-1-26 22:56
3

0

NTSTATUS PspProcessOpen(OBJ_OPEN_REASON OpenReason,
                        KPROCESSOR_MODE AccessMode,
                        PEPROCESS TargetProcess,
                        PVOID Object,
                        PACCESS_MARK GrantedAccess,
                        ULONG HandleCount);
WhiteLearner 2018-1-26 22:58
4

0

Tennn ``` NTSTATUS PspProcessOpen(OBJ_OPEN_REASON OpenReason, KPROCESSOR_MODE ...
感谢!    原谅我再问一个问题。。  从Object加多少偏移可以获得进程路径。。
WhiteLearner 2018-1-26 22:59
5

0

叭叭叭 21fc8cfce5e8e03f5b9f738778cf14f9这个吗?[em_1]
我太菜了  看不懂。。。
WhiteLearner 2018-1-26 23:00
6

0

WhiteLearner 感谢! 原谅我再问一个问题。。[em_5] 从Object加多少偏移可以获得进程路径。。
还有    就是我看有的代码上写9个参数  ,x64是9个参数么。。
Tennn 5 2018-1-26 23:29
7

0

这是win8.1  这是windows内部函数  说明他们想怎么改就怎么改  但是你说9个参数..  那windows架构也有点扯  可能大版本更新
同版本x86 x64 参数肯定相同 不同杀了 拖出去祭天  内部实现可能会不同
WhiteLearner 2018-1-27 00:03
8

0

我在win7  x64  windbg看了一下这个函数,开头是mov  rcx,[rsp+28],所以想着9个参数,并且调用自定义PspProcessOpen的时候,定义6,7,8,9个参数都能运行。。。。然后网上一篇文章分析的xp和vista的系统  说这个函数64位下定义9个参数以下会蓝屏,我没虚拟机    没测试。。
Tennn 5 2018-1-27 11:34
9

0

那是第6个参数    说定义九个参数的博主文章你还是别再看了…  不蓝是运气好
hzqst 2 2018-1-28 10:14
10

0

NTSTATUS NewPspProcessOpen(OB_OPEN_REASON reason, KPROCESSOR_MODE Mode, PEPROCESS CurrentProcess, PEPROCESS OpenedProcess, PULONG Flags, PVOID Entry)
{

//for vista +

NTSTATUS NewPspProcessOpenXP(OB_OPEN_REASON reason, PEPROCESS CurrentProcess, PEPROCESS OpenedProcess, ULONG a4, ULONG a5)
{
//for xp only


hzqst 2 2018-1-28 10:15
11

0

WhiteLearner 感谢! 原谅我再问一个问题。。[em_5] 从Object加多少偏移可以获得进程路径。。
SeLocateProcessImageName
wx_clay 1 2018-12-6 17:19
12

0

hzqst NTSTATUS NewPspProcessOpen(OB_OPEN_REASON reason, KPROCESSOR_MODE&nbs ...
请问这些参数你是咋分析出来的
hzqst 2 2018-12-6 18:51
13

0

wx_clay 请问这些参数你是咋分析出来的
我哥哥是鲍尔默,我写邮件让他把windows源码发我
wx_clay 1 2018-12-6 21:26
14

0

hzqst 我哥哥是鲍尔默,我写邮件让他把windows源码发我
==原来是从WRK里看的,我也找到了
返回