freecutelei

驱动牛犊

注册日期2003-11-12
最后登录2016-01-09
粉丝0
关注0
积分10分
威望1点
贡献值0点
好评度1点
原创分0分
专家分0分

加关注写私信

阅读：3173回复：27

ir_pid怎么和GetCurrentProcessId取得的值对应啊？

楼主^#

更多发布于：2004-08-12 11:13

小弟在学习WIN98下文件删除保护程序时遇上难题，
我安装了IFSMgr_InstallFileSystemApiHook钩子，
但拦截时无法判断删除操作是哪个程序发出的，
尤其是SHELL32发出的？
ir_pid属性我已测试，但无法与前台程序找到的process ID相对应，请各位大侠帮助

例如取得的ir_pid是71875
客户端进程id用getcurrentprocessid得的是类似4294554249这样的

喜欢1

最新喜欢：

ljmmar...

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	沙发^# 发布于：2004-08-15 15:04 趁热打铁，再upup 谁解决了还是给100分 :mad:
	回复(0) 喜欢(0)

AllenZh

驱动老牛

注册日期2001-08-19
最后登录2015-11-27
粉丝19
关注10
积分1316分
威望2387点
贡献值7点
好评度321点
原创分0分
专家分0分

加关注写私信

板凳^#

发布于：2004-08-15 15:33

小弟在学习WIN98下文件删除保护程序时遇上难题，
我安装了IFSMgr_InstallFileSystemApiHook钩子，
但拦截时无法判断删除操作是哪个程序发出的，
尤其是SHELL32发出的？
ir_pid属性我已测试，但无法与前台程序找到的process ID相对应，请各位大侠帮助

例如取得的ir_pid是71875
客户端进程id用getcurrentprocessid得的是类似4294554249这样的

GetCurrentProcessId返回的值怎么这么大，是不是你的代码有问题？

1,承接Windows下驱动/应用开发 2,本人原创虚拟鼠标/键盘,触摸屏,虚拟显卡,Mirror驱动,XP无盘的SCSI虚拟磁盘驱动等 3,windows下有尝技术服务(包括BUG调试,员工培训等) 欢迎深圳和海外企业联系.msn:mfczmh@sina.com

回复喜欢

RED_spring

驱动中牛

注册日期2002-07-28
最后登录2016-11-06
粉丝0
关注0
积分3分
威望19点
贡献值0点
好评度17点
原创分0分
专家分0分

加关注写私信

地板^#

发布于：2004-08-15 15:51

可能AP得到的ID和R0得到的ID不一样。？

在driver中可以用下面的代码取进程名：
PCHAR
FilemonGetProcess(
   PCHAR ProcessName
   )
{
   PVOID CurProc;
   PVOID ring3proc;
   char *name;
   ULONG i;

   //
   // Get the ring0 process pointer.
   //
   CurProc = VWIN32_GetCurrentProcessHandle();

   //
   // Now, map the ring3 PCB
   //
   ring3proc = (PVOID) SelectorMapFlat( Get_Sys_VM_Handle(),
   (DWORD) (*(PDWORD) ((char *) CurProc + 0x38)) | 0x7, 0 );

   if( ring3proc == (PVOID) -1 ) {
   strcpy( ProcessName, "???");
   } else {

   //
   // copy out the process name (max 8 characters)
   //
   name = ((char *)ring3proc) + 0xF2;
   if( name[0] >= 'A' && name[0] < 'z' ) {

   strcpy( ProcessName, name );
   ProcessName[8] = 0;
   } else {

   strcpy( ProcessName, "???" );
   }
   }
   return ProcessName;
}

回复喜欢

RED_spring 驱动中牛注册日期2002-07-28 最后登录2016-11-06 粉丝0 关注0 积分3分威望19点贡献值0点好评度17点原创分0分专家分0分加关注写私信	地下室^# 发布于：2004-08-15 15:55 98的PCB结构俺也不是很了解，那位大虾来点解点解？ :)
	回复(0) 喜欢(0)

freecutelei

驱动牛犊

注册日期2003-11-12
最后登录2016-01-09
粉丝0
关注0
积分10分
威望1点
贡献值0点
好评度1点
原创分0分
专家分0分

加关注写私信

5楼^#

发布于：2004-08-15 21:14

隐隐约约好像觉得是这样：

98把explore等等这些系统进程在R0里面规定成固定的id了，就像717875这样的5位数，然后可能在每次启动的时候，随机生成1个数和717875进行相加，然后就得出10位的那样424xxxxx

问题是现在我找不到资料，没看到官方怎么说的。所以我就没法搞定id值了。

现在每次操作我都能从ir_pid属性知道当前IFS操作的processid,然后我要对比一下我允许访问的processid表是否有它。可是我的processid表是R3应用程序取的10位processid,所以说我必须知道os是如何把5位的R0进程转换成R3的10位进程id的。这样我就可以直接把合法proceesid表保存数据都放5位R0的processid了

好罗嗦阿，不知道你们懂了么

回复喜欢

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	6楼^# 发布于：2004-08-16 10:03 upup
	回复(0) 喜欢(0)

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	7楼^# 发布于：2004-08-16 20:53 阿婆一下
	回复(0) 喜欢(0)

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	8楼^# 发布于：2004-08-18 09:54 顶到大牛们烦了，自然有人回答了 :P
	回复(0) 喜欢(0)

Sundsea 驱动老牛注册日期2003-05-06 最后登录2012-06-05 粉丝0 关注0 积分2分威望35点贡献值0点好评度15点原创分0分专家分0分加关注写私信	9楼^# 发布于：2004-08-18 10:25 帮你顶!!!!!!!!
	回复(0) 喜欢(0)

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	10楼^# 发布于：2004-08-20 11:13 丁阿
	回复(0) 喜欢(0)

Sundsea 驱动老牛注册日期2003-05-06 最后登录2012-06-05 粉丝0 关注0 积分2分威望35点贡献值0点好评度15点原创分0分专家分0分加关注写私信	11楼^# 发布于：2004-08-20 12:13 丁阿
	回复(0) 喜欢(0)

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	12楼^# 发布于：2004-08-23 10:24 顶到牛人烦我
	回复(0) 喜欢(0)

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	13楼^# 发布于：2004-08-23 20:40 aaaaaaaaaaa
	回复(0) 喜欢(0)

dj_ukyo 驱动小牛注册日期2003-03-13 最后登录2009-06-02 粉丝0 关注0 积分118分威望16点贡献值0点好评度14点原创分0分专家分0分加关注写私信	14楼^# 发布于：2004-08-26 11:38 果然憨厚
	回复(0) 喜欢(0)

chengtao 驱动牛犊注册日期2002-11-30 最后登录2020-03-25 粉丝0 关注0 积分11分威望78点贡献值0点好评度17点原创分0分专家分0分加关注写私信	15楼^# 发布于：2004-08-26 20:41 帮帮你
	回复(0) 喜欢(0)

freecutelei 驱动牛犊注册日期2003-11-12 最后登录2016-01-09 粉丝0 关注0 积分10分威望1点贡献值0点好评度1点原创分0分专家分0分加关注写私信	16楼^# 发布于：2004-08-26 22:05 adfdsf
	回复(0) 喜欢(0)

zhiyuan19840428 驱动小牛注册日期2004-05-11 最后登录2005-06-17 粉丝0 关注0 积分0分威望0点贡献值0点好评度0点原创分0分专家分0分加关注写私信	17楼^# 发布于：2004-08-27 08:13 我考不累吗？
	回复(0) 喜欢(0)

zhiyuan19840428

驱动小牛

注册日期2004-05-11
最后登录2005-06-17
粉丝0
关注0
积分0分
威望0点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

18楼^#

发布于：2004-08-27 08:29

可能AP得到的ID和R0得到的ID不一样。？

在driver中可以用下面的代码取进程名：
PCHAR
FilemonGetProcess(
   PCHAR ProcessName
   )
{
   PVOID CurProc;
   PVOID ring3proc;
   char *name;
   ULONG i;

   //
   // Get the ring0 process pointer.
   //
   CurProc = VWIN32_GetCurrentProcessHandle();

   //
   // Now, map the ring3 PCB
   //
   ring3proc = (PVOID) SelectorMapFlat( Get_Sys_VM_Handle(),
   (DWORD) (*(PDWORD) ((char *) CurProc + 0x38)) | 0x7, 0 );

   if( ring3proc == (PVOID) -1 ) {
   strcpy( ProcessName, "???");
   } else {

   //
   // copy out the process name (max 8 characters)
   //
   name = ((char *)ring3proc) + 0xF2;
   if( name[0] >= 'A' && name[0] < 'z' ) {

   strcpy( ProcessName, name );
   ProcessName[8] = 0;
   } else {

   strcpy( ProcessName, "???" );
   }
   }
   return ProcessName;
}

ring3proc = (PVOID) SelectorMapFlat( Get_Sys_VM_Handle(),
(DWORD) (*(PDWORD) ((char *) CurProc + 0x38)) | 0x7, 0 );
你把上句话的|0x7去掉试试，通过反汇编我发现没有这个，你试试

回复喜欢

hongsing 驱动小牛注册日期2004-05-22 最后登录2012-04-29 粉丝0 关注0 积分4分威望8点贡献值0点好评度6点原创分0分专家分0分加关注写私信	19楼^# 发布于：2004-08-30 20:59 楼上的方法不行，帮楼主顶。
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册