阅读:2526回复:8
如何在进程创建之前获取该新进程信息,谢谢!!!!
如前面一个问题,就是我要区分是双击notepad.exe打开,还是双击a.txt创建了一个notepad.exe进程.
我在驱动里面hook了ntcreateprocessex (xp系统),或者ntcreatesection, psGetCurrentProcess得到EPROCESS指针,然后取得peb,但是这里面存的都是explorer.exe这个父进程的信息, 如何获得被创建进程notepad.exe的参数、进程信息呢? 谢谢!!!!! |
|
沙发#
发布于:2007-05-31 17:03
大牛们,帮帮我,刚刚搜索到是在ntcreateprocessexe之后的NtSetInformationProcess设置的,那样是不是已经将线程创建好了?那样子就没法控制这个进程的创建了???
|
|
板凳#
发布于:2007-05-31 19:56
get them in CreateProcessNotifyRoutine
never use hook~~ |
|
|
地板#
发布于:2007-06-01 00:20
CreateProcessNotifyRoutine
不能控制进程创建吧? 版主来了,感谢感谢。呵呵 |
|
地下室#
发布于:2007-06-04 13:34
|
|
5楼#
发布于:2007-06-25 19:51
上次没注意看楼主需求,其他也关心这个的朋友可以看看或许有一点帮助
http://hi.baidu.com/baigan/blog/item/c5f970f040837aada50f5209.html |
|
6楼#
发布于:2007-07-01 22:38
双击a.txt不是会有命令行参数"notepad.exe a.txt"吗?楼上的链接应该有点用
|
|
|
7楼#
发布于:2007-07-02 19:06
a.txt是一个绝对路径的。比如c:\windows\a.txt这样的。
已经在baigan 的指点下搞定了。 |
|
8楼#
发布于:2009-12-02 15:35
在zwcreatesection中有个参数 通过参数就可以获得进程信息
|
|