Wie man den Prozess Environment Block (PEB) von extern zu verarbeiten?

Also... ich muss peb aus der "notepad.exe" Prozess, jemand weiß, wie machen Sie es?

Habe ich versucht mit der "GetModuleHandle" API, aber... nicht, gibt mir der Zeiger (jedes mal gibt mir null), weil ich den Anrufer Prozess des Moduls.

Aus diesem Grund, möchte ich wissen, wie es mit der "EnumProcessModules" oder "CreateToolhelp32Snapshot".

Wenn jemand weiß, Sag mir bitte wie, vielen Dank im Voraus!.

InformationsquelleAutor Daas Cook | 2011-03-28
  1. 9

    Matt Pietrek beschrieben, wie man das in eine 1994 Unter der Haube Spalte. Es ging darum, wie man die environment-Variablen von einem anderen Prozess, wo der erste Schritt ist, um einen Zeiger auf die PEB. Um das zu tun, sagt er, rufen Sie NtQueryInformationProcess. Die PROCESS_BASIC_INFORMATION Struktur füllt es enthält die Basisadresse des PEB-Struktur. (Sie müssen verwenden ReadProcessMemory es zu Lesen, da die Adresse werden im Rahmen der externen Prozess-Adressraum, nicht deins.)

    Nennen NtQueryInformationProcess können, benötigen Sie ein handle für den Prozess. Wenn Sie damit begonnen, sich selbst (durch Aufruf CreateProcess), dann haben Sie bereits einen Griff. Andernfalls müssen Sie die Prozess-ID und rufen Sie dann OpenProcess. Um die Prozess-ID ein, suchen Sie den gewünschten Prozess mit EnumProcesses oder Process32First/Process32Next. (Ich bevorzuge die letztere, weil es liefert mehr Informationen mit weniger Arbeit.)

    • Heiliger Himmel! du bist ein Genie!
    • Danke, wirklich vielen Dank Leute, es viel geholfen.
    • NtQueryInformationProcess deklariert ist, in den Jedi-Apilib.
    • Es sollte angemerkt werden, dass eine WOW64-Prozess hat zwei PEB ist, und das kompliziert die Dinge ein wenig IIRC
    • ist richtig. ZwQueryInformationProcess gibt die PEB entspricht der Bitanzahl des Aufruf - Prozess. In dem Fall, wo ein 32-bit (WOW64) - Prozess versucht, abrufen der PEB von einer nativen 64-bit-Prozess PROCESS_BASIC_INFORMATION.PebBaseAddress NULL ist, da die native 64-bit-Prozesse haben keine 32-bit-PEB. Beachten Sie auch, dass die 32-bit-und 64-bit-PEBs haben unterschiedliche Struktur offsets, so dass diese Methode müsste geändert werden für ein 64-bit-Prozess erfolgreich Lesen von 32-bit-PEB.
    • Es ist ein Kommentar in der NtQueryInformationProcess() - Dokumentation, die sagt: "... bei der Abfrage ein Prozess unter wow64 ... die PebBaseAddress zurückgegeben werden, ist eigentlich für die 64-bit-Module laden, die unter wow64 - ... das PEB, das bezieht sich auf 32-bit-Module gefunden werden können, indem die PebBaseAddress und Subtraktion einer Seite (0x1000) von seinem Wert..."
    • Anscheinend wird nicht funktionieren von Windows 8 weiter mehr, aber diesen code bietet eine alternative, die ruft die 32bit PEB-Adresse aus der 32-bit TEB.

    InformationsquelleAutor Rob Kennedy
Schreibe einen Kommentar