Questione : Percorso trattato 2 di applicazione

Ciò era commento del Aflarin sul href= del percorso trattato 1
ramming/Languages/Pascal/Delphi/Q_26413438.html#33496630


I del e.com/Prog di http://www.experts-exchang ha ricerca un il codice considerare al
And “di ZwOpenFile ", come esamino il codice, esso sembra ottenere il senso che voglio, ottenere il percorso ed il nome di applicazione con o senza le domande di console.

2 soltanto a answer.
a. È questo il codice di che Aflarin sta parlando nel suo commento di numero 3?  Sì o NO
b. E dove potrei trovare NativeAPI.pas? class= > " libero " del
> " del codeSnippet " del class= del
class= " lineNumbers " del
class= del 
1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:
45:
46:
47:
48:
49:
50:
51:
52:
53:
54:
55:
56:
57:
58:
59:
60:
61:
62:
63:
64:
65:
66:
67:
68:
69:
70:
71:
72:
73:
74:
75:
76:
77:
78:
79:
80:
81:
82:
83:
84:
85:
86:
87:
88:
89:
90:
91:
92:
93:
94:
95:
96:
97:
98:
99:
100:
101:
102:
103:
104:
105:
106:
107:
108:
109:
110:
111:
112:
113:
114:
115:
116:
117:
118:
119:
120:
121:
122:
123:
124:
125:
126:
127:
128:
129:
130:
131:
132:
133:
134:
135:
136:
137:
138:
139:
140:
141:
class= x >library " notpretty " del id= " codeSnippet958941 " del
class= del

Risposta : Percorso trattato 2 di applicazione

>> è questo il codice di che Aflarin sta parlando nel suo commento di numero 3? È quello che voi volere dire Aflarin?

Sono impaurito che la risposta è no. Realmente ho parlato dell'agganciamento dello ZwOpenFile, ma deve essere all'interno del driver di modo del nocciolo. La vostra biblioteca x sta funzionando nel modo dell'utente. Così, può agganciare soltanto la procura di utente-modo di ZwOpenFile. Significa che il vostro codice intercetterà le chiamate di ZwOpenFile soltanto se vengono dal utente-modo app/DLL.
Indovino quando il app denomina CreateProcess (o qualcosa di simile), esso entro a NtCreateProcess in modo del nocciolo ed allora ZwOpenFile è denominato da NtCreateProcess dal modo del nocciolo. Così questa chiamata passerà dal vostro gancio.

Lo suggerisco per leggere l'articolo corrispondente dal mio alberino (ed esaminare il codice dell'articolo). Per esempio, potete trovare che ci sono alcuni motivi agganciare NtCreateSection anziché ZwOpenFile:)
Altre soluzioni  
 
programming4us programming4us