[求助]hook NtUserBuildHwndList-编程技术-看雪-安全社区|安全招聘|kanxue.com

最新回复 (9)
妮可雪币： 14 活跃值： (1018) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 86 粉丝 3 关注私信	妮可 2 楼网上能找的方法都试了,我自己是查不出来... 最后于 2020-12-4 14:59 被妮可编辑，原因： 2020-12-4 08:47 0
妮可雪币： 14 活跃值： (1018) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 86 粉丝 3 关注私信	妮可 3 楼我发现是GetWindow防不住,单步步入根本没走内核... 2020-12-4 16:53 0
妮可雪币： 14 活跃值： (1018) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 86 粉丝 3 关注私信	妮可 4 楼我发现是GetWindow防不住,单步步入根本没走内核... 2020-12-4 16:53 0
yi丶Master 雪币： 215 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	yi丶Master 5 楼 ValidateHwnd 2020-12-9 00:15 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 6 楼从EPROCESS 反向找 ETHREAD ，再从ETHREAD 找到WIN32THREAD，WIN32THREAD本身是链表结构。可以遍历所有WIN32THREAD对象 2021-11-23 15:28 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 7 楼 WIN32THREAD断链，会引起很多系统管理问题。 2021-11-23 15:29 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 8 楼所以问题是，你隐藏的目的是什么。如果你的进程被人跟踪了。那么你在其他进程中创建一个线程，并且创建win32thread对象。你自己线程中通过系统函数类似 attachprocess之类的函数，可以与上面那个线程共享win32thread对象。另外win32thread不是你意义上的thread的，他就是个系统管理用的结构体（对象），其核心是windows实现用户消息，内核消息（这个名词是我自己取的）。实现原理是win32thread中的PQ队列和内核消息队列，两个队列的元素结构一个是 tagmsg 一个是 tagsmsmsg(或许吧，我经常不记得名字).实现机制三环的一套，0环的是用event(线程等待 KPCR里面 wait_block)。 2021-11-23 15:36 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 9 楼窗口对象 win32thread对象消息对象，都是windows穿透 process thread 既统一又独立的管理体系。必要时，windows通过一套算法，可以准确销毁和某个thread 相关的这些对象（比如线程结束时）。在某些时刻，又可以通过对象引用计数，使得thread销毁时，不销毁某些对象（而是引用计数-1）。所以，隐藏保护，最终目的，不是对方找不到你，而是对方不知道你是谁。 2021-11-23 15:42 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 10 楼帮你找了些关键词，便于你学习搜索 NtUserAttachThreadInput 共享消息队列（你自己去求证，共享的是PQ队列，sms消息也被共享了，具体实现，是不是直接改的kthread里面的 win32thread成员）另外窗口是为信息机制服务的。windows只是给了你一整套API，帮助你实现窗口管理。 QT程序之所以，你只能找到顶层窗口，子窗口控件，你用现在窗口搜索软件都无法获取的原因是 QT是自己一套实现的代码，并没有走windows那一套，所以QT只需要一个顶层窗口和系统对接，获取硬件资源和系统资源的调用就行了，内部，他自己管理。 2021-11-23 15:56 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (9)
妮可雪币： 14 活跃值： (1018) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 86 粉丝 3 关注私信	妮可 2 楼网上能找的方法都试了,我自己是查不出来... 最后于 2020-12-4 14:59 被妮可编辑，原因： 2020-12-4 08:47 0
妮可雪币： 14 活跃值： (1018) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 86 粉丝 3 关注私信	妮可 3 楼我发现是GetWindow防不住,单步步入根本没走内核... 2020-12-4 16:53 0
妮可雪币： 14 活跃值： (1018) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 86 粉丝 3 关注私信	妮可 4 楼我发现是GetWindow防不住,单步步入根本没走内核... 2020-12-4 16:53 0
yi丶Master 雪币： 215 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	yi丶Master 5 楼 ValidateHwnd 2020-12-9 00:15 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 6 楼从EPROCESS 反向找 ETHREAD ，再从ETHREAD 找到WIN32THREAD，WIN32THREAD本身是链表结构。可以遍历所有WIN32THREAD对象 2021-11-23 15:28 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 7 楼 WIN32THREAD断链，会引起很多系统管理问题。 2021-11-23 15:29 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 8 楼所以问题是，你隐藏的目的是什么。如果你的进程被人跟踪了。那么你在其他进程中创建一个线程，并且创建win32thread对象。你自己线程中通过系统函数类似 attachprocess之类的函数，可以与上面那个线程共享win32thread对象。另外win32thread不是你意义上的thread的，他就是个系统管理用的结构体（对象），其核心是windows实现用户消息，内核消息（这个名词是我自己取的）。实现原理是win32thread中的PQ队列和内核消息队列，两个队列的元素结构一个是 tagmsg 一个是 tagsmsmsg(或许吧，我经常不记得名字).实现机制三环的一套，0环的是用event(线程等待 KPCR里面 wait_block)。 2021-11-23 15:36 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 9 楼窗口对象 win32thread对象消息对象，都是windows穿透 process thread 既统一又独立的管理体系。必要时，windows通过一套算法，可以准确销毁和某个thread 相关的这些对象（比如线程结束时）。在某些时刻，又可以通过对象引用计数，使得thread销毁时，不销毁某些对象（而是引用计数-1）。所以，隐藏保护，最终目的，不是对方找不到你，而是对方不知道你是谁。 2021-11-23 15:42 0
wx_多利雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_多利 10 楼帮你找了些关键词，便于你学习搜索 NtUserAttachThreadInput 共享消息队列（你自己去求证，共享的是PQ队列，sms消息也被共享了，具体实现，是不是直接改的kthread里面的 win32thread成员）另外窗口是为信息机制服务的。windows只是给了你一整套API，帮助你实现窗口管理。 QT程序之所以，你只能找到顶层窗口，子窗口控件，你用现在窗口搜索软件都无法获取的原因是 QT是自己一套实现的代码，并没有走windows那一套，所以QT只需要一个顶层窗口和系统对接，获取硬件资源和系统资源的调用就行了，内部，他自己管理。 2021-11-23 15:56 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复