NtCreateThread: CreateThread или CreateRemoteThread

Можно ли как нибудь в хуке на ZwCreateThread определить был ли он вызван через CreateThread или CreateRemoteThread?

 

CreateThread([parameters])=CreateRemoteThread(-1,[parameters])

 

Определить что поток удалённый - можно из UserMode.

 

Определить Id процесса, создавшего поток, создавшего текущий процесс и текущего процесса.
Поток удалённый, если: Id процесса создавшего поток не равен текущему PID и не равен Id процесса, создавшего текущий процесс. Определить идентификатор процесса, в котором создаётся поток можно через его хэндл(1-й параметр): ZwQueryInformationProcess(InfoClass=ProcessBasicInformation, поле ClientId.UniqueProcess).
Кстати CreateThread->CreateRemoteThread.

 

hProcess == -1 => CreateThread

 

Ведь можно открыть текущий процесс, затем передать полученный хэндл в CreateThread.

 

Clerk
ну попорбуй передать его в CreateThread...

 

Имел ввиду в CreateRemoteThread