【问题标题】：ZwDebugActiveProcess HookingZwDebugActiveProcess 挂钩
【发布时间】：2013-03-31 19:38:37
【问题描述】：
我正在尝试为 windows 7 32 位创建防病毒软件屏蔽。为此，我需要挂钩 ZwDebugActiveProcess。当我尝试在驱动程序中指定 ZwDebugActiveProcess 时，在 WDK 中编译时出现错误“未声明的标识符”。我已经使用相同的程序来挂钩 ZwOpenProcess 。它成功挂钩。指定该 api 的名称有任何错误。如何解决这个问题？
【问题讨论】：
标签：
windows-7
kernel
driver
wdk
【解决方案1】：
ZwDebugActiveProcess 不是从 ntoskrnl 导出的 - 您可以使用 dumpbin 来验证。 Win32 DebugActiveProcess 是对 OpenProcess 的调用，并设置了调试标志。更好的方法是继续使用 ZwOpenProcess，并检查标志是否为 PROCESS_ALL_ACCESS - 这是 DebugActiveProcess() 工作所必需的。