Как узнать кто вызвал системный вызов

Здравствуйте!

Есть функция, которая хукает NtOpenProcess, есть функция, заменяющая ее. Вот код:

Код (Text):

1. NTSTATUS NTAPI New_NtOpenProcess ( OUT PHANDLE ProcessHandle,
2.                                    IN ACCESS_MASK AccessMask,
3.                                    IN POBJECT_ATTRIBUTES ObjectAttributes,
4.                                    IN PCLIENT_ID ClientId )
5. {
6.  // Как тут узнать кто вызвал эту функцию? Процесс ид может быть?
7.  
8. }

Спасибо!

 

PsGetCurrentThread()
PsGetCurrentProcess()
PsGetCurrentProcessId()

 

x64
Спасибо! Не подскажешь, где в структуре PEPROCESS название процесса?

Спасибо!

 

Что есть "название процесса"?
Вот, например: Путь к файлу-образу процесса.

 

Hippey
В PEPROCESS есть ссылка на РЕВ процесса, оттуда можно.
Но ее юзать для получения РЕВ не очень хорошо, лучше через ZwQueryInformationProcess http://msdn.microsoft.com/en-us/library/windows/desktop/ms687420(v=vs.85).aspx

упс, опередили)

 

После получения процесса он может завершиться, далее будет нульдереференс и костыль отвалится.

 

Malfoy
Это как процесс завершится ? С каких это пор процесс может заверщится выполняя NtOpenProcess(kernel)?

 

shchetinin
Мультизадачность же.

 

Malfoy
Ну что что? Как будет завершать поток который сечайс в ядре(NtOpenProcess)?

ExitProcess(TerminateProcess)
1) Требуется захватить ресурс работы с процессом(ObReferenceObjectByHandle -EPROCESS-> RundownProtect)
2) Кильнуть все потоки(цикл PsGetNextProcessThread, PspTerminateThreadByPointer ) разумеет кроме текущего.
3) Можно уже и освободить флаг протекции


Как пройдем первый пункт?
Как пройдем второй путнт(Как доставим APC когда поток находится в ядре)?

Вообщем не получится

 

shchetinin

Другой поток его завершит.

 

Malfoy
Я написал почему его завершить не получится.