【发布时间】：2020-02-13 13:04:58
【问题描述】：
我尝试停止一些进程，我使用来自 ntdll 的 NativeAPI。我写了一些 C 代码，它可以工作：
typedef LONG(NTAPI* NtSuspendProcess)(IN HANDLE ProcessHandle);
UINT __stdcall Suspend(VOID* processId)
{
HANDLE processHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, (DWORD)processId);
NtSuspendProcess pfnNtSuspendProcess = (NtSuspendProcess)GetProcAddress(GetModuleHandle(L"ntdll"), "NtSuspendProcess");
pfnNtSuspendProcess(processHandle);
CloseHandle(processHandle);
return 0;
}
UINT __stdcall Resume(VOID* processId)
{
HANDLE processHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, (DWORD)processId);
NtSuspendProcess pfnNtSuspendProcess = (NtSuspendProcess)GetProcAddress(
GetModuleHandle(L"ntdll"), "NtResumeProcess");
pfnNtSuspendProcess(processHandle);
CloseHandle(processHandle);
return 0;
}
但是，当我尝试使用 MASM 编写它时，我的进程并没有停止。我查看了寄存器 EAX 和 ECX，那里一切正常。我调用了 GetLastError，返回值为零。代码：
pauseProc proc pid:dword
push pid
push 0
push PROCESS_ALL_ACCESS
call OpenProcess@12
.IF eax == 0
PUSH MB_ICONERROR
PUSH 0
PUSH offset errorOpenProccess
PUSH 0
CALL MessageBoxA@16
.ENDIF
mov processHandle, eax
push offset NtModuleNameWStr
call GetModuleHandleW@4
; call GetLastError
.IF eax == 0
PUSH MB_ICONERROR
PUSH 0
PUSH offset errorGetModuleHandle
PUSH 0
CALL MessageBoxA@16
.ENDIF
push offset NtSuspendProcessAStr
push eax
call GetProcAddress@8
.IF eax == 0
PUSH MB_ICONERROR
PUSH 0
PUSH offset errorGetProcAddress
PUSH 0
CALL MessageBoxA@16
.ENDIF
push processHandle
call CloseHandle@4
; pfnNtSuspendProcess
ret
pauseProc endp
关于常量：
STANDARD_RIGHTS_REQUIRED equ 000F0000h
SYNCHRONIZE equ 00100000h
PROCESS_ALL_ACCESS equ (STANDARD_RIGHTS_REQUIRED or SYNCHRONIZE or 0FFFFh)
我使用 Windows 10，因为我们需要写入 0FFFF。适用于 Windows Vista 0FFFh 之前的版本。为什么进程不会停止？
【问题讨论】：
-
您是否查看/比较了可执行文件的汇编代码与您编写的代码与 MASM 代码之间的显着差异？
-
是的，我做到了。有一些函数 j___RTC_CheckEsp 可以检查一些东西。我什至尝试调用 __imp__OpenProcess@12 等。顺便说一句，当我调用此 GetModuleHandle 时，它将被 __imp__GetModuleHandleW@4 替换。
-
it 函数有 W 后缀，这表明我使用 Unicode，我改变了一些变量。因为，GetProcAddress 需要 ASCII 字符。有一次，我的进程停止了，但我不知道为什么
-
我有几乎相同的代码，但它不起作用
-
我不认为
.IF做你认为它做的事情。
标签： c process masm nt-native-api