检测 CreateProcess 或谁创建了进程

Question

如何检测创建我的应用程序进程的应用程序的名称？

例如，如果有人想要，他们可以调用 CreateProcess 并将挂起标志传递给它并注入到我的应用程序中。

有没有办法阻止 CreateProcess 或找出创建我的应用程序实例的进程？

我已经迷上了 loadlibrary、createthread 和所有其他简单的东西，但 CreateProcess 似乎可以绕过它。

我这样做是为了娱乐和学习，而不是为了实际使用。我只是没有看到任何检测 CreateProcess..

有什么想法吗？

Answer 1

您可以使用工具帮助库找到父进程ID：

• 致电CreateToolhelp32Snapshot。
• 调用Process32First和Process32Next枚举进程。
• 有时您会遇到一个PROCESSENTRY32 结构，其中th32ProcessID 是您的进程的进程ID。
• 读出th32ParentProcessID 成员以查找您父级的进程ID。
• 现在您知道父进程，您可以再次枚举以获取有关它的信息。

准备好在到达这一点之前终止父进程。