問題
TerminateProcess呼び出しをフックして、終了するプロセスを特定しましたTerminateProcessが、インターセプトしようとしている実際のプロセス ハンドルと一致しない予期しないハンドルを取得しています。
私はDeviareTerminateProcessライブラリを使用していますが、この問題は、関数がどのように機能し、適切なハンドル比較を実行するために何をする必要があるかを知るだけで解決できると思います。
質問：
プロセスの終了を特定したいプロセスのハンドルがわかっている場合hProcess、TerminateProcess関数のパラメーターからそのハンドルを特定するにはどうすればよいですか?
コード：
ハンドルを比較しようとしている部分に注意してください。
If Process.GetProcessesByName("notepad").FirstOrDefault.Handle = hProcessValue Then ...
同じハンドルになることはありません（私もProcess IDMainWindowHandleで試しました） ID
そのため、パラメーターの値はhProcess私にとって非常に不明です。
Imports Nektra.Deviare2
Public NotInheritable Class Form1
Public WithEvents SpyMgr As NktSpyMgr
Public Hook As NktHook
ReadOnly libName As String = "kernel32.dll"
ReadOnly funcName As String = "TerminateProcess"
ReadOnly hookFlags As eNktHookFlags = eNktHookFlags.flgOnlyPreCall
' Processes to attach the hook.
ReadOnly processesToAttach As IEnumerable(Of Process) =
Process.GetProcessesByName("taskmgr")
Private Sub Test() Handles MyBase.Load
If Me.processesToAttach.Count = 0 Then
MsgBox("Any process found.")
Else
Me.SpyMgr = New NktSpyMgr()
Me.SpyMgr.Initialize()
Me.Hook = SpyMgr.CreateHook(String.Format("{0}!{1}", libName, funcName), hookFlags)
Me.Hook.Hook(sync:=True)
For Each proc As Process In processesToAttach
Debug.WriteLine("Attaching to: " & proc.ProcessName)
Me.Hook.Attach(procOrId:=proc.Id, sync:=True)
Next proc
End If
End Sub
<MTAThread>
Private Sub OnTerminateProcess_Called(ByVal hook As NktHook,
ByVal proc As NktProcess,
ByVal callInfo As NktHookCallInfo) Handles SpyMgr.OnFunctionCalled
' Function params.
Dim hProcessParam As NktParam = DirectCast(callInfo.Params(0), NktParam)
Dim uExitCodeParam As NktParam = DirectCast(callInfo.Params(1), NktParam)
' Param values.
Dim hProcessValue As IntPtr = New IntPtr(CInt(hProcessParam.Value))
Dim uExitCodeValue As UInteger = CUInt(uExitCodeParam.Value)
' Debuf info.
Trace.WriteLine(String.Format("hProcess : '{0}'", hProcessValue))
Trace.WriteLine(String.Format("uExitCode: '{0}'", uExitCodeValue))
' Handle Comparison
If Process.GetProcessesByName("notepad").FirstOrDefault.Handle = hProcessValue Then
' Skip precall to avoid process termination.
If callInfo.IsPreCall Then
callInfo.Result.Value = 1
callInfo.SkipCall()
End If
End If
End Sub
End Class
リサーチ：
TerminateProcessの MSDN ドキュメントを読んでいます。
それが言う部分に注意してください：
ハンドルには PROCESS_TERMINATE アクセス権が必要です
ハンドルを比較するために何かを見逃しているかどうかはわかりません。
また、私はここを読んでいますが、はっきりとはわかりませんでした：
TerminateProcess をフックし、それが提供するハンドルから情報を取得する
適切なハンドル比較を実行する必要がある場合は、この Enum も設計しました。
Public Enum ProcessAccessFlags As UInteger
All = &H1F0FFF
Terminate = &H1
CreateThread = &H2
VirtualMemoryOperation = &H8
VirtualMemoryRead = &H10
VirtualMemoryWrite = &H20
DuplicateHandle = &H40
CreateProcess = &H80
SetQuota = &H100
SetInformation = &H200
QueryInformation = &H400
QueryLimitedInformation = &H1000
Synchronize = &H100000
End Enum