ObjectPreCallback x64 и исполнямый процесс

@push_nop · Регистрация: 23.09.2015

Студворк — интернет-сервис помощи студентам

интересует вот что под операционную систему Windows 7 X64, в функции ObjectPreCallback что ниже существует какой то способ получить данные из структуры _EPROCESS исполняемого процесса? зная только его процесс ид функцией PsGetCurrentProcessId()...

и еще существует способ получить полный путь исполняемого файла или его командному строку так же получая его процесс ид функцией PsGetCurrentProcessId() или как то иначе? перекопал весь интернет что только не пробовал нечего не получается... информации об этом мало посоветуйте если такое вообще возможно хотя бы в какую сторону копать..

использую компилятор WDK 7600.16385.1

C
1
2
3
4
OB_PREOP_CALLBACK_STATUS ObjectPreCallback(IN  PVOID RegistrationContext, IN  POB_PRE_OPERATION_INFORMATION OperationInformation)
{
     return OB_PREOP_SUCCESS;
}

еще вопрос по поводу ObOpenObjectByPointer я нашел в файле ntifs.h ниже приведённые функции, интересует ObOpenObjectByPointer будет работать на системах выше семёрки? или надо использовать уже ObOpenObjectByPointerWithTag я так и не понял этого и более того ясного описания о функции ObOpenObjectByPointerWithTag в интернете вообще нет и хотелось бы узнать что надо вписывать в Tag для тестирования этой функции? за ранее спасибо кто хоть минутку уделит моим проблемам)

C
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
#if (NTDDI_VERSION >= NTDDI_WIN2K)
NTKERNELAPI
NTSTATUS
ObOpenObjectByPointer(
    _In_ PVOID Object,
    _In_ ULONG HandleAttributes,
    _In_opt_ PACCESS_STATE PassedAccessState,
    _In_ ACCESS_MASK DesiredAccess,
    _In_opt_ POBJECT_TYPE ObjectType,
    _In_ KPROCESSOR_MODE AccessMode,
    _Out_ PHANDLE Handle
    );
#endif
 
#if (NTDDI_VERSION >= NTDDI_WIN7)
NTKERNELAPI
NTSTATUS
ObOpenObjectByPointerWithTag(
    _In_ PVOID Object,
    _In_ ULONG HandleAttributes,
    _In_opt_ PACCESS_STATE PassedAccessState,
    _In_ ACCESS_MASK DesiredAccess,
    _In_opt_ POBJECT_TYPE ObjectType,
    _In_ KPROCESSOR_MODE AccessMode,
    _In_ ULONG Tag,
    _Out_ PHANDLE Handle
    );
#endif

@push_nop · 08.04.2016, 16:28 **[ТС]**

беда ну ладно я уже от этого тоже продумал кое что не сильно страшно хорошо что на версиях выше хоть не работает...

Убежденный · 08.04.2016, 16:38

На версиях выше - то же самое.
У Process Hacker-а неограниченный доступ к системе и он может
творить с чужими потоками и процессами все, что захочет.
Никакие калбэки ему не преграда.

Насколько я помню по коду, когда "Хакеру" нужно, к примеру,
завершить процесс, он не дергает ни ZwOpenProcess/ZwTerminateProcess,
ни ObReferenceObjectXxx, а просто тупо находит нужный EPROCESS и
затем вызывает PspTerminateProcess.

@push_nop · 08.04.2016, 16:56 **[ТС]**

Убежденный может всё таки чудо но не получается) кроме калбеков не каких хуков

Убежденный · 08.04.2016, 17:04

Suspend - это частный случай. Попробуй защитись от kill/terminate в
исполнении данной программы

@push_nop · 08.04.2016, 17:06 **[ТС]**

мне это не нужно

просто интересно почему на 7x64 можно свободно делать Supsend а на 8 8.1 и 10 x64 нельзя остаётся загадкой...

Убежденный · 08.04.2016, 17:08

Надо смотреть исходники Process Hacker - как именно он делает suspend.
Потому что есть, например, PsSuspendProcess. А есть NtSuspendThread
для всех потоков процесса.

@push_nop · 08.04.2016, 17:21 **[ТС]**

побегал он использует NtSuspendThread но это для нитей сам процесс он останавливает функцией NtSuspendProcess которая пробивается загадочно на 7x64 возможно и ниже, думаю в версиях выше семёрки Miscrosoft что то там изменил и уже не получается..

Новые блоги и статьи Все статьи Все блоги /
Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .	Мобильное приложение ColorStep pavlinmavlin 17.09.2026 Реализовал приложение Красный, Зеленый, Синий в Unity3d + c#. Название изменил на ColorStep. Приложение прошло модерацию и теперь доступно для скачивания. Делал его сам, шаг за шагом — и вот,. . .	Запрет дублирования строк в табличной части Maks 13.09.2026 Реализация из решения ниже выполнена на нетиповом справочнике "Нормы ТО" с табличной часть "Виды ТО", разработанного в КА2, со следующими реквизитами: - ВидТО (СправочникСсылка. ВидыТО); - ВидГСМ. . .	Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Jin X 06.09.2026 Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Работая с форумом и нейросетями в браузере часто хочется что-то подкорректировать или добавить какого-то функционала. Ниже прикреплён. . .
Программа опроса у.з. расходомера SLS-720F Argus19 02.09.2026 Программа опроса у. з. расходомера SLS-720F Программа опрашивает один раз в минуту три ультразвуковых расходомера SLS-720F через интерфейс RS-485 по протоколу Modbus RTU. Опрашиваются регистры. . .	Hyper-V: Компьютер должен поддерживать доверенный платформенный модуль 2.0. Maks 31.08.2026 При установке Windows 11 на виртуальную машину Hyper-V 2-го поколения вылезла такая ошибка: Решение: в параметрах виртуальной машины, в разделе "Безопасность" (Security) активировать флаг. . .	Архитектура биовида Стива в Майнкрафте: Зачем бонобо кубический каннибализм anaschu 30.08.2026 Кубический Вагинокапитализм в Minecraft: Математический инвариант ОДУ и рок Стивов-бонобо Главная задача разработанной «Модели Всего» — наглядно продемонстрировать наличие системной «судьбы». . .	Оттачиваю умение писать js программы. russiannick 30.08.2026 Проектом выходного дня стало написание Книги шифров Виженера. Итогом стала версия 200, синий туман. Синий туман назван так, потому что замораживает текст под собой. Нажатие синих кнопок управляют. . .

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 16:28 [ТС]
	беда ну ладно я уже от этого тоже продумал кое что не сильно страшно хорошо что на версиях выше хоть не работает... 0

Убежденный Ушел с форума 16481 / 7444 / 1187 Регистрация: 02.05.2013 Сообщений: 11,616 Записей в блоге: 1
	08.04.2016, 16:38
	На версиях выше - то же самое. У Process Hacker-а неограниченный доступ к системе и он может творить с чужими потоками и процессами все, что захочет. Никакие калбэки ему не преграда. Насколько я помню по коду, когда "Хакеру" нужно, к примеру, завершить процесс, он не дергает ни ZwOpenProcess/ZwTerminateProcess, ни ObReferenceObjectXxx, а просто тупо находит нужный EPROCESS и затем вызывает PspTerminateProcess. 0

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 16:56 [ТС]
	Убежденный может всё таки чудо но не получается) кроме калбеков не каких хуков Миниатюры 0

Убежденный Ушел с форума 16481 / 7444 / 1187 Регистрация: 02.05.2013 Сообщений: 11,616 Записей в блоге: 1
	08.04.2016, 17:04
	Suspend - это частный случай. Попробуй защитись от kill/terminate в исполнении данной программы 0

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 17:06 [ТС]
	мне это не нужно просто интересно почему на 7x64 можно свободно делать Supsend а на 8 8.1 и 10 x64 нельзя остаётся загадкой... 0

Убежденный Ушел с форума 16481 / 7444 / 1187 Регистрация: 02.05.2013 Сообщений: 11,616 Записей в блоге: 1
	08.04.2016, 17:08
	Надо смотреть исходники Process Hacker - как именно он делает suspend. Потому что есть, например, PsSuspendProcess. А есть NtSuspendThread для всех потоков процесса. 0

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 17:21 [ТС]
	побегал он использует NtSuspendThread но это для нитей сам процесс он останавливает функцией NtSuspendProcess которая пробивается загадочно на 7x64 возможно и ниже, думаю в версиях выше семёрки Miscrosoft что то там изменил и уже не получается.. 0