XP修改父进程

huangchao209 · 发表于 2015-5-28 06:07:57

vista以上系统可以通过
InitializeProcThreadAttributeList
UpdateProcThreadAttribute
在创建进程时候设置 STARTUPINFOEX达到修改父进程

现在想问XP下人家是如何修改父进程句柄的{:soso_e143:}

Tesla.Angela · 发表于 2015-5-28 10:04:33

EPROCESS里有一个叫做InheritedFromUniqueProcessId的成员，记录了父进程ID。
RING3就别想了。

huangchao209 · 发表于 2015-5-28 20:06:24

Tesla.Angela 发表于 2015-5-28 10:04
EPROCESS里有一个叫做InheritedFromUniqueProcessId的成员，记录了父进程ID。
RING3就别想了。 ...

那有些OD插件的伪造父进程，是用驱动加载了吧

账号		自动登录	找回密码
密码			加入我们