ObjectPreCallback x64 и исполнямый процесс

@push_nop · Регистрация: 23.09.2015

Студворк — интернет-сервис помощи студентам

интересует вот что под операционную систему Windows 7 X64, в функции ObjectPreCallback что ниже существует какой то способ получить данные из структуры _EPROCESS исполняемого процесса? зная только его процесс ид функцией PsGetCurrentProcessId()...

и еще существует способ получить полный путь исполняемого файла или его командному строку так же получая его процесс ид функцией PsGetCurrentProcessId() или как то иначе? перекопал весь интернет что только не пробовал нечего не получается... информации об этом мало посоветуйте если такое вообще возможно хотя бы в какую сторону копать..

использую компилятор WDK 7600.16385.1

C
1
2
3
4
OB_PREOP_CALLBACK_STATUS ObjectPreCallback(IN  PVOID RegistrationContext, IN  POB_PRE_OPERATION_INFORMATION OperationInformation)
{
     return OB_PREOP_SUCCESS;
}

еще вопрос по поводу ObOpenObjectByPointer я нашел в файле ntifs.h ниже приведённые функции, интересует ObOpenObjectByPointer будет работать на системах выше семёрки? или надо использовать уже ObOpenObjectByPointerWithTag я так и не понял этого и более того ясного описания о функции ObOpenObjectByPointerWithTag в интернете вообще нет и хотелось бы узнать что надо вписывать в Tag для тестирования этой функции? за ранее спасибо кто хоть минутку уделит моим проблемам)

C
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
#if (NTDDI_VERSION >= NTDDI_WIN2K)
NTKERNELAPI
NTSTATUS
ObOpenObjectByPointer(
    _In_ PVOID Object,
    _In_ ULONG HandleAttributes,
    _In_opt_ PACCESS_STATE PassedAccessState,
    _In_ ACCESS_MASK DesiredAccess,
    _In_opt_ POBJECT_TYPE ObjectType,
    _In_ KPROCESSOR_MODE AccessMode,
    _Out_ PHANDLE Handle
    );
#endif
 
#if (NTDDI_VERSION >= NTDDI_WIN7)
NTKERNELAPI
NTSTATUS
ObOpenObjectByPointerWithTag(
    _In_ PVOID Object,
    _In_ ULONG HandleAttributes,
    _In_opt_ PACCESS_STATE PassedAccessState,
    _In_ ACCESS_MASK DesiredAccess,
    _In_opt_ POBJECT_TYPE ObjectType,
    _In_ KPROCESSOR_MODE AccessMode,
    _In_ ULONG Tag,
    _Out_ PHANDLE Handle
    );
#endif

@push_nop · 08.04.2016, 16:28 **[ТС]**

беда ну ладно я уже от этого тоже продумал кое что не сильно страшно хорошо что на версиях выше хоть не работает...

Убежденный · 08.04.2016, 16:38

На версиях выше - то же самое.
У Process Hacker-а неограниченный доступ к системе и он может
творить с чужими потоками и процессами все, что захочет.
Никакие калбэки ему не преграда.

Насколько я помню по коду, когда "Хакеру" нужно, к примеру,
завершить процесс, он не дергает ни ZwOpenProcess/ZwTerminateProcess,
ни ObReferenceObjectXxx, а просто тупо находит нужный EPROCESS и
затем вызывает PspTerminateProcess.

@push_nop · 08.04.2016, 16:56 **[ТС]**

Убежденный может всё таки чудо но не получается) кроме калбеков не каких хуков

Убежденный · 08.04.2016, 17:04

Suspend - это частный случай. Попробуй защитись от kill/terminate в
исполнении данной программы

@push_nop · 08.04.2016, 17:06 **[ТС]**

мне это не нужно

просто интересно почему на 7x64 можно свободно делать Supsend а на 8 8.1 и 10 x64 нельзя остаётся загадкой...

Убежденный · 08.04.2016, 17:08

Надо смотреть исходники Process Hacker - как именно он делает suspend.
Потому что есть, например, PsSuspendProcess. А есть NtSuspendThread
для всех потоков процесса.

@push_nop · 08.04.2016, 17:21 **[ТС]**

побегал он использует NtSuspendThread но это для нитей сам процесс он останавливает функцией NtSuspendProcess которая пробивается загадочно на 7x64 возможно и ниже, думаю в версиях выше семёрки Miscrosoft что то там изменил и уже не получается..

Новые блоги и статьи Все статьи Все блоги /
Запустил конкурс "тем и промптов для текстовых квестов созданных почти чисто ИИ" Adler 06.10.2026 Всем привет! За последние три-четыре дня я создал более 16 текстовых квестовых игр используя преимущественно по одному запросу к ИИ на игру. Мне так понравилось смотреть все ветки/ сцены во всех. . .	ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Nekobox - outbounds[0].transport: unknown transport type: raw damix 01.10.2026 Фикс ошибки Правым кликом по серверу -> отладочная информация -> edit Заменить "net": "raw", на "net": "tcp", Нажать кнопку reload.
Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .	Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .	Мобильное приложение ColorStep pavlinmavlin 17.09.2026 Реализовал приложение Красный, Зеленый, Синий в Unity3d + c#. Название изменил на ColorStep. Приложение прошло модерацию и теперь доступно для скачивания. Делал его сам, шаг за шагом — и вот,. . .	Запрет дублирования строк в табличной части Maks 13.09.2026 Реализация из решения ниже выполнена на нетиповом справочнике "Нормы ТО" с табличной часть "Виды ТО", разработанного в КА2, со следующими реквизитами: - ВидТО (СправочникСсылка. ВидыТО); - ВидГСМ. . .

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 16:28 [ТС]
	беда ну ладно я уже от этого тоже продумал кое что не сильно страшно хорошо что на версиях выше хоть не работает... 0

Убежденный Ушел с форума 16481 / 7444 / 1187 Регистрация: 02.05.2013 Сообщений: 11,616 Записей в блоге: 1
	08.04.2016, 16:38
	На версиях выше - то же самое. У Process Hacker-а неограниченный доступ к системе и он может творить с чужими потоками и процессами все, что захочет. Никакие калбэки ему не преграда. Насколько я помню по коду, когда "Хакеру" нужно, к примеру, завершить процесс, он не дергает ни ZwOpenProcess/ZwTerminateProcess, ни ObReferenceObjectXxx, а просто тупо находит нужный EPROCESS и затем вызывает PspTerminateProcess. 0

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 16:56 [ТС]
	Убежденный может всё таки чудо но не получается) кроме калбеков не каких хуков Миниатюры 0

Убежденный Ушел с форума 16481 / 7444 / 1187 Регистрация: 02.05.2013 Сообщений: 11,616 Записей в блоге: 1
	08.04.2016, 17:04
	Suspend - это частный случай. Попробуй защитись от kill/terminate в исполнении данной программы 0

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 17:06 [ТС]
	мне это не нужно просто интересно почему на 7x64 можно свободно делать Supsend а на 8 8.1 и 10 x64 нельзя остаётся загадкой... 0

Убежденный Ушел с форума 16481 / 7444 / 1187 Регистрация: 02.05.2013 Сообщений: 11,616 Записей в блоге: 1
	08.04.2016, 17:08
	Надо смотреть исходники Process Hacker - как именно он делает suspend. Потому что есть, например, PsSuspendProcess. А есть NtSuspendThread для всех потоков процесса. 0

@push_nop 2 / 2 / 0 Регистрация: 23.09.2015 Сообщений: 61
	08.04.2016, 17:21 [ТС]
	побегал он использует NtSuspendThread но это для нитей сам процесс он останавливает функцией NtSuspendProcess которая пробивается загадочно на 7x64 возможно и ниже, думаю в версиях выше семёрки Miscrosoft что то там изменил и уже не получается.. 0

Опции темы