ZwDebugActiveProcess Hooking

Question

我正在尝试为Windows 7 32位创建防病毒软件屏蔽。为此，我需要挂钩ZwDebugActiveProcess.When当我尝试在我的驱动程序中指定ZwDebugActiveProcess时，在WDK中编译时出现“未声明的标识符”错误。我使用相同的过程来挂钩ZwOpenProcess。它成功hooked.Any错误中指定该api的名称。如何解决这个问题？

Answer 1

ZwDebugActiveProcess不是从ntoskrnl导出 - 您可以验证使用dumpbin。 Win32 DebugActiveProcess是一个通过OpenProcess的调用，并设置了调试标志。更好的方法是继续使用ZwOpenProcess，并检查标志是否为PROCESS_ALL_ACCESS - 这是DebugActiveProcess（）工作所需的。