首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]如何才能准确判断调用ZwCreateThread时进程是否已创建？
发表于: 2008-4-16 16:54 8016

[求助]如何才能准确判断调用ZwCreateThread时进程是否已创建？

syzhaoyu 活跃值
2008-4-16 16:54
8016
我想用Hook ZwCreateThread的方法来监视CreateRemoteThread函数的调用，但是发现在创建一个新进程时CreateRemoteThread也会调用（ZwCreateThread的ProcessHandle参数和ZwCurrentProcess()返回的handle不相同），我想知道有什么办法能准确的判断调用CreateRemoteThread时是在创建进程还是在向某个进程注入线程。我通过IceSword发现在创建进程的时候调CreateRemoteThread时那个进程的线程信息中一个线程都没有，不知道通过这种办法来判断是否准确呢？如果是准确的，我要怎样才能像IceSword一样得到那个进程的线程数呢？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (1)
linxer
雪    币： 1746
活跃值： (287)
能力值： (RANK：450 )
在线值：
发帖
回帖
粉丝
私信
2 楼
MS  在NtCreateProcess之流函数创建进程后,排除第一个LZ说的情况后,NtCreateThread的ProcessHandle句柄表示的pid & 0xfffffffc不等于PsGetCurrentProcessId() & 0xfffffffc都是远线程
2008-4-17 19:53
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回