-
-
[求助]HOOK了NtCreateFile，如何得到返回的句柄？
-
发表于:
2008-10-6 09:24
6894
-
[求助]HOOK了NtCreateFile，如何得到返回的句柄？
我 SSDT HOOK了NtCreateFile函数。该函数原型如此：
NtCreateFile(
PHANDLE FileHandle,
ACCESS_MASK DesiredAccess,
POBJECT_ATTRIBUTES ObjectAttributes,
PIO_STATUS_BLOCK IoStatusBlock,
PLARGE_INTEGER AllocationSize,
ULONG FileAttributes,
ULONG ShareAccess,
ULONG CreateDisposition,
ULONG CreateOptions,
PVOID EaBuffer,
ULONG EaLength)
第一个参数是返回值，可以看出与句柄相关。其实这就是一个地址，返回的句柄就在这个地址，在用户空间。但是当我尝试读取的时候这个值总是发生了改变。请问我如何才能正确得到返回的句柄？
[培训]科锐逆向工程师培训第53期2025年7月8日开班！
