挂起一个进程

老倪今天突然问道怎样才能挂起一个进程。线程很好办,因为系统提供了 SuspendThread() API 可以直接调用。要是在两天以前,老倪还真问住我了;不过幸好是今天,老汉已经知道了答案。忘了是昨天还是前天,在用十六进制方式查看大名鼎鼎的 Process Explorer 的时候,无意之中看到了一个原来没见过的 API 名字:NtSuspendProcess(),望文知义,连弱智都应该能看出来这个函数的作用。与之相对应的还有 NtResumeProcess()。他们的原型为:

NTSTATUS NtSuspendProcess(HANDLE hProcess);
NTSTATUS NtResumeProcess(HANDLE hProcess);

从 NTDLL.DLL 中找到地址就可以直接用了。另外关于查询一个进程当前是不是处于被挂起状态我还不知道,估计跑不了 NtQueryInformationProcess()。

发表评论

电子邮件地址不会被公开。 必填项已用*标注