2014-12-09 삽질 일지

1.

NtQuerySystemInformation, NtDuplicateObject, NtQueryObject

이 셋을 가지고 Handle List를 추출하는 프로그램을 구현하고있다.

Window internals에 특히 좋은 자료가 많은 것 같다. 이 곳에 코드를 참조하여 (거의 배끼...)

구현을 하는데 머리로는 완벽하게 이해했다고 생각했지만, 실제 구현에 들어가서 벽에 막혀 앞으로 나아가지 못하고 있다...

 

(1) 기초가 부족한듯... 구조체 변수에 접근하는데 막혔다...

 

분명 똑같게 선언했는데 왜 한놈은 저렇게 한놈은 이렇게 나올까...

두 소스에서 차이점은 저거밖에 없는듯한데...

 

[추가]

하하하 난 역시 삽잡이...

차이점이 있었네 확장자

ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

.c와 .cpp의 차이....

그래도 근데 확장자가 달라졌는데 흠... 그래두 궁금하다 저렇게 뜨는 이유가...

 

 

(2) PID가 4번일 때 handle값을 얻지 못하고있다. PID 4번.. 즉, kernel 일 때 추출할 수 있는 방법을 알아야한다. -> Process Hacker 참조

 

[결론]

우선 빨리 PID 4번을 제외한 handle 값 추출 코드를 100% 구현해야 다음으로 넘어갈터인데 허허...