ZwDebugActiveProcess挂钩

Question

我正在尝试为Windows 7 32位创建防病毒软件屏蔽。为此我需要挂钩ZwDebugActiveProcess。当我尝试在我的驱动程序中指定ZwDebugActiveProcess时，我在WDK中编译时收到错误“未声明的标识符”。我使用相同的程序挂钩ZwOpenProcess。它成功挂钩。任何错误都指定了api的名称。如何解决这个问题？

Answer 1

ZwDebugActiveProcess不是从ntoskrnl导出的 - 您可以使用dumpbin验证。 Win32 DebugActiveProcess是对OpenProcess的调用，设置了调试标志。更好的方法是继续使用ZwOpenProcess，并检查标志是否为PROCESS_ALL_ACCESS - 这是DebugActiveProcess（）工作所必需的。