windows-7 - ZwDebugActiveProcess 挂钩

Question

我正在尝试为 Windows 7 32 位创建防病毒软件屏蔽。为此，我需要挂钩 ZwDebugActiveProcess。当我尝试在驱动程序中指定 ZwDebugActiveProcess 时，在 WDK 中编译时出现错误“未声明的标识符”。我已经使用相同的程序来挂钩 ZwOpenProcess 。它成功挂钩。指定该 api 的名称有任何错误。如何解决这个问题？

Answer 1

ZwDebugActiveProcess 不是从 ntoskrnl 导出的——你可以使用 dumpbin 来验证。Win32 DebugActiveProcess 是对 OpenProcess 的调用，并设置了调试标志。更好的方法是继续使用 ZwOpenProcess，并检查标志是否为 PROCESS_ALL_ACCESS - 这是 DebugActiveProcess() 工作所必需的。