ZwOpenProcess

Всем привет.

Ситуация такая
хук ssdt ZwOpenProcess. все отлично.

запускаю некий процесс запускающий и изменяющий себя же,
в логах открытие этого процесса на запись идет от процесс id 4 System. Почему ?
Можно ли как-то узнать id реального процесса вызвавшего функцию?

Спасибо.

 

1. Где этот лог смотришь?
2. Может быть, действительно ядро тот процесс открывает, не?

 

Может быть ты его из драйвер ентри открываешь?

 

не понятно это id 4 system относится к открывающему или открываемому процессу?

 

Открывает его сторонний процесс, я лишь логирую его активность.

Открывающему.

Код (Text):

1. NTSTATUS NTAPI NewZwOpenProcess(
2.     PHANDLE ProcessHandle,
3.     ACCESS_MASK DesiredAccess,
4.     POBJECT_ATTRIBUTES ObjectAttributes,
5.     PCLIENT_ID ClientId
6. )
7. {
8.       // бла бла бла
9.  
10.       WriteLog( PsGetCurrentProcessId( ), DesiredAccess, ClientId );
11.  
12.       // вызываем оригинал
13.       status = OriginalZwOpenProcess( ProcessHandle, DesiredAccess, ObjectAttributes, ClientId );
14.      
15.       // бла бла бла
16.  
17. };

Получается следующее, скажем процессы открываемые Process Explorer'ом для получения информации, чтения и т.д PsGetCurrentProcessId( ) возвращает идентификатор Process Explorer'ом что отображается в логах, но вот стоит (не буду греха тоить) запустить какой-то зловред который запускает себя же и модифицирует память, как в логах получается что открытие его с правами на запись идет от контекста системного потока...

Скорее всего так и есть, например загрузка драйвера из пользовательского режима приведет к тому что ZwLoadDriver будет выполнятся в контексте services.exe. Но ситуация с ZwOpenProcess не совсем мне понятна. И может все-таки есть способ узнать откуда пришел вызов на самом деле?

ps. система Windows xp sp2, sp3

 

скорей всего запускает себя через ShellExecuteEx - в этом случае все логично

 

movdqu
Может можно взять отладчик и посмотреть откуда пришел вызов , тогда можно будет о чем то говорить ...