檢測 CreateProcess 或誰創建了進程

Question

如何檢測創建我的應用程序進程的應用程序的名稱？

例如，如果有人想要，他們可以調用 CreateProcess 並將掛起標志傳遞給它並注入到我的應用程序中。

有沒有辦法阻止 CreateProcess 或找出哪個進程創建了我的應用程序的實例？

我已經掛鈎了 loadlibrary、createthread 和所有其他簡單的東西，但 CreateProcess 似乎可以繞過它。

我這樣做是為了好玩和學習，而不是為了現實世界的使用。 我只是沒有看到任何檢測 CreateProcess 的東西..

有什么想法嗎？

Answer 1

您可以使用工具幫助庫找到父進程 ID：

• 調用CreateToolhelp32Snapshot 。
• 調用Process32First和Process32Next來枚舉進程。
• 在某些時候，您會遇到一個PROCESSENTRY32結構，其中th32ProcessID是您的進程的進程 ID。
• 讀出th32ParentProcessID成員以查找您的父進程 ID。
• 現在您知道父進程，您可以再次枚舉以獲取有關它的信息。

准備好在到達這一點之前終止父進程。