小弟在学习WIN98下文件删除保护程序时遇上难题,我安装了IFSMgr_InstallFileSystemApiHook钩子,但拦截时无法判断删除操作是哪个程序发出的,尤其是SHELL32发出的?ir_pid属性我已测试,但无法与前台程序找到的process ID相对应,请各位大...
全文
回复(27) 2004-08-12 11:13 来自版块 - 内核编程
表情
wowocock;@GOTO TRANSLATE .586P .MODEL FLAT, STDCALL OPTION CASEMAP: NONE INCLUDE WINDOWS.inc UNICODE = FALSE ...(2005-01-24 21:07)
bmyyyud[quote]隐隐约约好像觉得是这样: 98把explore等等这些系统进程在R0里面规定成固定的id了,就像717875这样的5位数,然后可能在每次启动的时候,随机生成1个数和717875进行相加,然后就得出10位的那样424xxxxx 问题是现在我找不到资料,没看...(2005-01-24 16:02)
freecutelei回音就是不行 呵呵呵(2005-01-24 14:19)
dj_ukyo回音呢?(2004-11-09 15:17)
cicada解决了没有?解决了给点分吧,我一点专家分都没有啊!!!(2004-10-16 17:09)
freecutelei谢谢楼上 回去试验一下(2004-09-08 10:26)
cicada隐隐约约好像觉得是这样: 98把explore等等这些系统进程在R0里面规定成固定的id了,就像717875这样的5位数,然后可能在每次启动的时候,随机生成1个数和717875进行相加,然后就得出10位的那样424xxxxx 问题是现在我找不到资料,没看到官方怎么说的...(2004-09-02 09:33)
hongsing关键是要了解RED_spring大哥所说的WIN98的PCB结构,我看了一个外国网站上面有WIN95的,但在98下很多不一样,还是不行。(2004-08-30 23:41)
hongsing楼上的方法不行,帮楼主顶。(2004-08-30 20:59)
zhiyuan19840428可能AP得到的ID和R0得到的ID不一样。 ? 在driver中可以用下面的代码取进程名: PCHAR FilemonGetProcess( PCHAR ProcessName ) { PVOID CurProc; ...(2004-08-27 08:29)

返回顶部