ZwDebugActiveProcess Hooking

Question

我正在嘗試爲Windows 7 32位創建防病毒軟件屏蔽。爲此，我需要掛鉤ZwDebugActiveProcess.When當我嘗試在我的驅動程序中指定ZwDebugActiveProcess時，在WDK中編譯時出現「未聲明的標識符」錯誤。我使用相同的過程來掛鉤ZwOpenProcess。它成功hooked.Any錯誤中指定該api的名稱。如何解決這個問題？

Answer 1

ZwDebugActiveProcess不是從ntoskrnl導出 - 您可以驗證使用dumpbin。 Win32 DebugActiveProcess是一個通過OpenProcess的調用，並設置了調試標誌。更好的方法是繼續使用ZwOpenProcess，並檢查標誌是否爲PROCESS_ALL_ACCESS - 這是DebugActiveProcess（）工作所需的。