win32_4-进程创建&控制

谁践踏了优雅 2022-05-15 14:05 173阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70]  
当系统启动后，创建一个进程：Explorer.exe 也就是桌面进程.  
当用户双击某一个EXE时，Explorer 进程使用CreateProcess函数创建被双击的EXE,也就是说，我们在桌面上双击创建的进程都是Explorer进程的子进程.

BOOL CreateProcess(
    	LPCTSTR lpApplicationName,                 // name of executable module								
    	LPTSTR lpCommandLine,                      // command line string								
    	LPSECURITY_ATTRIBUTES lpProcessAttributes, // SD								
    	LPSECURITY_ATTRIBUTES lpThreadAttributes,  // SD								
    	BOOL bInheritHandles,                      // handle inheritance option								
    	DWORD dwCreationFlags,                     // creation flags								
    	LPVOID lpEnvironment,                      // new environment block								
    	LPCTSTR lpCurrentDirectory,                // current directory name								
    	LPSTARTUPINFO lpStartupInfo,               // startup information								
    	LPPROCESS_INFORMATION lpProcessInformation // process information								
    );

## 创建进程之内核句柄表   ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70 1] ##

--------------------

当进程的空间创建完毕，EXE与导入表中的DLL都正确加载完毕后，会创建一个线程

当线程得到CPU的时候，程序就正开始指向了，EIP的初始值设定为：ImageBase + OEP

HANDLE CreateThread(
    	PSECURITY_ATTRIBUTES psa,
    	DWORD cbStack,
    	PTHREAD_START_ROUTINE pfnStartAddr,
    	PVOID pvParam,
    	DWORD fdwCreate,
    	PDWORD pdwThreadID);

当进程创建成功后，会将进程句柄、主线程句柄、进程ID以及主线程ID存储在

typedef struct _PROCESS_INFORMATION
    {
    	HANDLE hProcess;				//进程句柄					
    	HANDLE hThread;				//主线程句柄					
    	DWORD dwProcessId;				//进程ID					
    	DWORD dwThreadId;				//线程ID					
    } PROCESS_INFORMATION;

也就是，CreateProcess的最后一个 OUT 参数  
到此，整个进程创建结束

实例代码:

STARTUPINFO si = { 0 };
    	PROCESS_INFORMATION pi;
    
    	si.cb = sizeof(si);
    
    	TCHAR szCmdline[] = TEXT(" http://www.ifeng.com");
    
    	BOOL res = CreateProcess(
    		TEXT("c://program files//internet explorer//iexplore.exe"),
    		szCmdline,
    		NULL,
    		NULL,
    		FALSE,
    		CREATE_NEW_CONSOLE,
    		NULL,
    		NULL, &si, &pi);

用来设定要创建的应用程序的属性，比如可以指定新创建的控制台程序的标题等待。

一般情况，只要为第一个成员赋值就可以了.

si.cb = sizeof(si);

关于句柄和ID

1.  都是系统分配的一个编号，句柄是客户程序使用 ID主要是系统调度时使用.
2.  调用CloseHandle关闭进程或者线程句柄的时候，只是让内核计数器减少一个，并不是终止进程或者线程.进程或线程将继续运行，直到它自己终止运行。
3.  进程ID与线程ID 是不可能相同。但不要通过进程或者线程的ID来操作进程或者线程，因为，这个编号是会重复使用的，也就是说，当你通过ID = 100这个编号去访问一个进程的时候，它已经结束了，而且系统将这个编号赋给了另外一个进程或者线程.

--------------------

终止进程的三种方式：

1.  VOID　ExitProcess(UINT fuExitCode) //进程自己调用
2.  BOOL TerminateProcess(HANDLE hProcess, UINT fuExitCode); //终止其他进程
3.  ExitThread //终止进程中的所有线程，进程也会终止

获取进程的退出码：

BOOL GetExitCodeProcess(HANDLE hProcess, PDWORD pdwExitCode);

进程终止时相关操作：

1.  进程中剩余的所有线程全部终止运行
2.  进程指定的所有用户对象均被释放，所有内核对象均被关闭
3.  进程内核对象的状态变成收到通知的状态
4.  进程内核对象的使用计数递减1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70 2]  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70 3][]

--------------------

## 以挂起的方式创建进程 ##

STARTUPINFO ie_si = { 0 };
    PROCESS_INFORMATION ie_pi;
    ie_si.cb = sizeof(ie_si);
    
    TCHAR szBuffer[256] = "C:\\notepad.exe";
    CreateProcess(
    	NULL,
    	szBuffer,
    	NULL,
    	NULL,
    	FALSE,
    	CREATE_SUSPENDED,
    	NULL,
    	NULL,
    	&ie_si,
    	&ie_pi
    );
    				
    ResumeThread(ie_pi.hThread);//恢复执行

使用进程上下文改变进程

CONTEXT contx;
    contx.ContextFlags = CONTEXT_FULL;
    
    
    GetThreadContext(ie_pi.hThread, &contx);
    
    //获取入口点								
    DWORD dwEntryPoint = contx.Eax;
    
    //获取ImageBase								
    char* baseAddress = (CHAR *)contx.Ebx + 8;
    
    memset(szBuffer, 0, 256);
    
    ReadProcessMemory(ie_pi.hProcess, baseAddress, szBuffer, 4, NULL);
    
    
    ResumeThread(ie_pi.hThread);

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70]: /images/20220503/95ed747d96d24cdd9ba5309774b48cc3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70 1]: /images/20220503/926a377a9be447bab948bbb9d7cda4b8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70 2]: /images/20220503/ff1fe3030d8043b6a9270410256d79b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NDI1MjQz_size_27_color_FFFFFF_t_70 3]: /images/20220503/d918eee752e04e11b3b6e5fe11e6af96.png