Fake process imagepath and name
BTW
当然你可以去修改其他进程的PEB信息，参考：
测试效果
2023-03-07 20:45:33
52KB
1
VB根据PID得到进程路径，改了一段代码，可以获取进程的PID和路径：
在窗体设计器里放一个listbox，命名为process；
再放2个txtbox，一个名为ProcessID，用来显示PID；
另一个名为Path，用来显示进程路径；
最后再放一个按钮，命名为cmdRefresh，用于刷新列表；
完成后即可运行代码
2022-04-29 23:26:57
3KB
1
代码完全远程。
可以在XP WIN7 WIN764 WIN2003 等操作系统上成功实现修改进程路径。
已经封装成类，使用及其方便。
部分代码:
头文件:
#ifndef ModifyProcessPath_h__
#define ModifyProcessPath_h__
// 结构定义
typedef struct _PROCESS_BASIC_INFORMATION {
DWORD ExitStatus;
ULONG PebBaseAddress;
ULONG AffinityMask;
LONG BasePriority;
ULONG UniqueProcessId;
ULONG InheritedFromUniqueProcessId;
} PROCESS_BASIC_INFORMATION, *PPROCESS_BASIC_INFORMATION;
// API声明
typedef LONG (__stdcall *PZWQUERYINFORMATIONPROCESS)
( HANDLE ProcessHandle,
ULONG ProcessInformationClass,
PVOID ProcessInformation,
ULONG ProcessInformationLength,
PULONG ReturnLength
);
class CModifyProcessPath
{
public:
CModifyProcessPath();
BOOL Create();
BOOL ModifyProcessPath(LPCTSTR szPath);
BOOL CamouflageExplorerPath();
};
#endif // ModifyProcessPath_h__
CPP部分代码:
#include "StdAfx.h"
#include "ModifyProcessPath.h"
namespace MODIFY_PROCESS
{
wchar_t m_szModulePath[MAX_PATH];
DWORD dwGetModuleFileNameWAddress;
DWORD dwModuleBaseAddress;
//E9 (目标地址-当前地址 - 5)
#pragma pack(1)
typedef struct _JMPCODE
{
BYTE bJmp;
DWORD dwAddr;
}JMPCODE,*LPJMPCODE;
#pragma pack()
DWORD WINAPI MGetModuleFileNameW(HMODULE hModule,wchar_t * lpFilename,DWORD nSize);
};
using namespace MODIFY_PROCESS;
// 为了不影响在进程内使用 GetModuleFileNameW ，故hook之，返回正确的路径。
DWORD WINAPI MODIFY_PROCESS::MGetModuleFileNameW(HMODULE hModule,wchar_t * lpFilename,DWORD nSize)
{
typedef DWORD(WINAPI *MGetModuleFileNameWT)(HMODULE,LPWCH,DWORD);
MGetModuleFileNameWT pMGetModuleFileNameW;
pMGetModuleFileNameW = (MGetModuleFileNameWT)dwGetModuleFileNameWAddress;
if(hModule == NULL || hModule ==(HMODULE)MODIFY_PROCESS::dwModuleBaseAddress)
{
StringCbCopyW(lpFilename,nSize,m_szModulePath);
return wcslen(m_szModulePath);
}
return pMGetModuleFileNameW(hModule,lpFilename,nSize);
}
CModifyProcessPath::CModifyProcessPath()
{
}
BOOL CModifyProcessPath::Create()
{
ZeroMemory(MODIFY_PROCESS::m_szModulePath,sizeof(MODIFY_PROCESS::m_szModulePath));
MODIFY_PROCESS::dwGet
2012-08-25 00:00:00
3KB
1
可查看进程路径的任务管理器，适用于 xp windows 2003 任务管理器，下载后，将该文件拷贝到 windows\system32与C:\WINDOWS\system32\dllcache
2009-11-13 00:00:00
224KB
1