Quantcast
Channel: 看雪安全论坛
Viewing all articles
Browse latest Browse all 9556

【求助】Ring0 如何通过进程名称获取基地址

$
0
0
我用 PsSetCreateProcessNotifyRoutine 回调监视 XXX.exe 的加载,然后通过该进程ID获取到eprocess ,但是不知道怎么才能得到该进程的基地址

下面是回调函数的代码,请问有什么办法可以
得到该进程的基地址
代码:

VOID LoadExeRoutine  (
        IN HANDLE hParentId, IN HANDLE PId,IN BOOLEAN bCreate
        )
{
        PEPROCESS  EProcess;
        NTSTATUS  status;

        status = PsLookupProcessByProcessId( (ULONG)PId, &EProcess);
        if (!NT_SUCCESS( status ))
        {
                DbgPrint("PsLookupProcessByProcessId()\n");
                return ;
        }


        if ( bCreate )
        {
                if( _stricmp((char *)((ULONG)(EProcess)+0x174),"Client.exe")==TRUE)
                {
                       
                        DbgPrint(("\n\n+++++++++++++++++++++++++++++++Client.exe++++++++++++++++++++++++++\n\n"));
                }
        }
        return;
}


Viewing all articles
Browse latest Browse all 9556

Trending Articles