利用EPROCESS结构的ActiveProcessLinks成员枚举进程

WinXsp · 发表于 2010-4-2 12:58

本帖最后由 WinXsp 于 2010-4-2 13:46 编辑

由于本人水平有限且时间仓促，文中难免有错误，希望发现的朋友能及时的回帖批评指正，以免误人子弟~

Ps: 该代码在WindowsXpSp2测试下通过

利用EPROCESS结构的 ActiveProcessLinks成员枚举进程，

用到的函数

PsGetProcessId , 该函数得到进程的Pid.

DbgPrint ,该函数用来打印调试消息.

用到常数

PsInitialSystemProcess

先来看下的声明

可以从WRK \base\ntos\inc\ps.h中
得知，该常数指向一个EPROCESS结构的地址。这个结构是System 进程的

绿色是我们要判断是否进程已经结束的

红色是我们要得到的信息

其中的 0x88 是我们要遍历的结构

其代码如下

得到的结果如下

附件.rar (855.44 KB, 下载次数: 79)

WinXsp · 发表于 2010-4-2 14:33

本帖最后由 WinXsp 于 2010-4-2 16:39 编辑

沙发......

jerrynpc · 发表于 2010-4-2 14:42

太强大了，顶礼膜拜楼主大牛大牛大大牛

Hmily · 发表于 2010-4-2 14:49

大肉鸡同学说有点老,不过支持下!

datochan · 发表于 2010-4-2 21:26

肉鸡的同学，那真得支持下。
真羡慕肉鸡，有同学做伴，嘿嘿~

代码疯子 · 发表于 2010-12-25 13:20

哈哈学习了最近我也开始看了非常感谢

angel_ · 发表于 2011-4-10 00:30

这是个好东西`!~!~!

loveforever90 · 发表于 2011-4-21 17:03

强，顶一顶

oksbsb · 发表于 2011-4-23 09:14

不错不错！不知道PsInitialSystemProcess通用不？

KiDebug · 发表于 2011-4-28 18:35

有点老了。

ActiveProcessLinks可以通过PsActiveProcessHead去遍历，取PsActiveProcessHead的方法通用XP/2003/Win7

帐号		自动登录	找回密码
密码			注册[Register]

[调试逆向] 利用EPROCESS结构的ActiveProcessLinks成员枚举进程