Hàm native API NT CreateProcess

[annguyen]

cho em hỏi thêm là liệu có thể Hook được hàm NtCreateProcess này như bình thường không ( nghĩa là em đã biết hàm này trong thư viện NTdll.dll rồi,chỉ việc hook giống như Hook các hàm API trong user mode có được không

View more random threads:

• HOOK sự kiện mở một file thì cần làm những gì?
• Thắc mắc Theo Dõi Process. Bắt một process mới hoạt động.
• Gọi tiến trình Hook API bằng tiến trình bị inject trên VC++ như thế nào?
• help unhook ZwOpenProcess
• Lập trình VC++ | Bảo Vệ ENDTASK tại sao không chạy tốt
• CreateFileMapping Trả về Lỗi = 5
• Detect User Hook by user mode code?
• WM_INPUT và Get raw input data
• hàm vẽ ảnh và xóa ảnh ??
• Send dữ liệu qua open socket id.

[diemktr]

Có một hàm NtCreateProcess/ZwCreateProcess chạy trong kernel mode, tuy nhiên hàm NtCreateProcess này thì nằm trong ntdll tức là vẫn là nằm trong user mode -> cứ hook nó bình thường thôi.

[tuyentravels]

Có một hàm NtCreateProcess/ZwCreateProcess chạy trong kernel mode,

Mình không hiểu rõ câu này cậu nói ý là gì lắm [IMG]images/smilies/biggrin.png[/IMG],có phải ý cậu là 2 hàm NtCreateProcess/ZwCreateProcess đều là hàm native API không,hay là chỉ có hàm ZwCreateProcess là hàm native API thôi

tuy nhiên hàm NtCreateProcess này thì nằm trong ntdll tức là vẫn là nằm trong user mode -> cứ hook nó bình thường thôi.

Nếu ta chặn hàm NtCreateProcess có phải là sẽ chặn triệt để được bất kỳ 1 Process nào không,hay đây vẫn không phải là lời gọi cuối cùng trong Kelnel

[YenAngel]

đây là document của hàm NTcreateProcess http://undocumented.ntinternals.net/...teProcess.html

mình muốn biết cách sử dụng hàm này như thế nào,mình có nghe các bạn nói rằng cái hàm này ta không thể gọi như 1 hàm API thông thường được mà phải đi qua 1 tầng Kelnel nữa,không rõ có đúng không ???

NtCreateProcess

NTSYSAPI
NTSTATUS
NTAPI

NtCreateProcess(

OUT PHANDLE ProcessHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL, IN HANDLE ParentProcess, IN BOOLEAN InheritObjectTable, IN HANDLE SectionHandle OPTIONAL, IN HANDLE DebugPort OPTIONAL, IN HANDLE ExceptionPort OPTIONAL );






Requirements:
Library: ntdll.lib



See also:
PsCreateSystemProcess
NtTerminateProcess
NtOpenProcess