ring3下让OD能找到NP进程

揰掵佲

1. 
   
2. BOOL
   
3. WINAPI
   
4. OdEnumProcesses(
   
5.     PULONG_PTR  ProcessId,
   
6.     ULONG       BufferSize,
   
7.     PULONG      Needed
   
8. )
   
9. {
   
10.     BOOLEAN                             Enabled;
    
11.     ULONG_PTR                           BufferCount, SizeNeeded;
    
12.     PSYSTEM_HANDLE_INFORMATION_EX       SystemHandles;
    
13.     PSYSTEM_HANDLE_TABLE_ENTRY_INFO_EX  Handle;
    
14.     POLLYDBG_EX_INFO                    Info = g_Info;
    
15. 
    
16.     if (!Info->Modules.AdvEnumProcesses)
    
17.         return Info->Modules.StubEnumProcesses(ProcessId, BufferSize, Needed);
    
18. 
    
19.     BufferCount = BufferSize / sizeof(*ProcessId);
    
20. 
    
21.     SystemHandles = QuerySystemHandles();
    
22.     if (SystemHandles == NULL)
    
23.         return FALSE;
    
24. 
    
25.     MlHandleTable PidTable;
    
26. 
    
27.     if (PidTable.Create() == NULL)
    
28.     {
    
29.         ReleaseSystemInformation(SystemHandles);
    
30.         return FALSE;
    
31.     }
    
32. 
    
33.     SizeNeeded = 0;
    
34.     Handle = SystemHandles->Handles;
    
35.     for (ULONG_PTR HandleCount = SystemHandles->NumberOfHandles; HandleCount; ++Handle, --HandleCount)
    
36.     {
    
37.         HANDLE Process;
    
38.         NTSTATUS st;
    
39.         PROCESS_IMAGE_FILE_NAME2 ImageName;
    
40.         WCHAR proc[MAX_NTPATH];
    
41. 
    
42.         if (PidTable.Lookup(Handle->UniqueProcessId) != NULL)
    
43.             continue;
    
44. 
    
45.         PidTable.Insert(Handle->UniqueProcessId);
    
46.         if (BufferCount != 0)
    
47.         {
    
48.             --BufferCount;
    
49.             *ProcessId++ = Handle->UniqueProcessId;
    
50.         }
    
51. 
    
52.         SizeNeeded += sizeof(*ProcessId);
    
53.     }
    
54. 
    
55.     if (Needed != NULL)
    
56.         *Needed = SizeNeeded;
    
57. 
    
58.     ReleaseSystemInformation(SystemHandles);
    
59. 
    
60.     return TRUE;
    
61. }
    

复制代码

小飞

我貌似都看不懂。。

fengxin0007

路过，谢谢楼主分享

只是一个酱油

- -完全看不懂咋办。

2991239158

这么好的资源，无条件抱走。

最终的幻象

优秀文章！神马都是浮云，支持!

wo519815271

完全看不懂，还是支持下。

hkoit

我来看看！谢谢

bqadd

很不错的啊