Accrochage de TerminateProcess et obtention d'informations à partir de la poignée

Question

Si vous voulez arrêter un processus, vous pouvez vous connecter à TerminateProcess (ou NtTerminateProcess). Si le processus se termine lui-même (parce que vous avez fermé sa fenêtre, par exemple), le handle fourni à ces fonctions est NULL, ainsi vous pouvez savoir quel exécutable est terminé en utilisant GetCurrentProcess() & GetModuleFileNameEx(). Comme GetCurrentProcess() renvoie un pseudo-handle, vous pouvez y accéder sans problème.

Si un processus en termine un autre, le handle fourni n'est pas NULL. Il représente le processus qui se termine. Le problème est que vous ne pouvez pas obtenir d'informations sur ce processus. Vous pouvez simplement renvoyer un code disant "accès refusé" au lieu d'appeler l'original [Nt] TerminateProcess(), mais cette couverture empêche tous les processus d'en terminer d'autres - ce qui est une mauvaise idée. Le handle doit représenter quelque chose de valide sinon TerminateProcess ne serait pas capable de faire quelque chose d'utile avec lui - mais je ne peux même pas appeler GetProcessId() dessus, j'obtiens ERROR_INVALID_HANDLE (ou ERROR_ACCESS_DENIED). J'ai essayé diverses méthodes que j'ai rassemblées de l'aide et de l'en ligne, en gagnant le privilège debug (succès) et DuplicateHandle() (même erreur) et ZwQueryInformationProcess() pour obtenir l'identification (STATUS_ACCESS_DENIED). Je ne peux même pas énumérer les processus parce qu'ils renvoient des ID, et je ne peux pas obtenir l'ID, et OpenProcess() retourne toujours un nouveau handle, donc je ne peux pas comparer les handles.

Je peux seulement supposer que le handle a PROCESS_TERMINATE droit et rien d'autre. Je sais que Vista et plus ont des processus protégés en raison de la gestion des droits numériques, mais j'utilise ProcessExplorer comme cobaye donc ce n'est certainement pas une application multimédia!

Est-ce que quelqu'un sait comment je pourrais obtenir d'autres informations sur le processus qui se termine avec ce handle?

Answer 1

C'est juste une poignée de processus ordinaire. La question est, dans quel processus votre fonction hook est-elle exécutée? S'il s'agit du processus appelant, le handle peut être utilisé tel quel pour GetProcessId ou NtQueryInformationProcess. Sinon, vous devez appeler DuplicateHandle pour dupliquer le handle dans votre processus.

Si vous obtenez des erreurs de refus d'accès, cela peut être dû au fait que l'identificateur de processus dispose uniquement de l'accès PROCESS_TERMINATE. Dans ce cas, utilisez DuplicateHandle pour "rouvrir" le processus avec PROCESS_QUERY_ (LIMITED_) INFORMATION access.