在ssdt hook中 經常會有下面的代碼 //定義一個原函數指針typedef NTSTATUS (__stdcall *REALZWOPENPROCESS)(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId);REALZWOPENPROCESS RealZwOpenProcess;......//為什么可以直接調用呢？ 這個函數是否會調用內核的NtOpenProcess函數？為什么status = RealZwOpenProcess(ProcessHandle, DesiredAccess, ObjectAttributes, ClientId);新手求指點
1 回答
慕萊塢森
TA貢獻1810條經驗 獲得超4個贊
typedef定義了一個函數指針類型REALZWOPENPROCESS，REALZWOPENPROCESS RealZwOpenProcess聲明了一個函數指針RealZwOpenProcess。你省略掉的部分應該有對RealZwOpenProcess的賦值，RealZwOpenProcess = &FunctionName或者RealZwOpenProcess = FunctionName，否則都沒指向某個函數，是沒法調用的。我想，你想所問“直接調用”是只直接寫的RealZwOpenProcess(...)而不是(* RealZwOpenProcess)(...)，對么？原因是二者等效。因為在C里面，當你用一個函數指針調用函數時，C會自動反引用，也就是說前這會被自動翻譯為后者。至于這個函數會否調用內核的NtOpenProcess函數，就得看你賦值給指針RealZwOpenProcess的那個函數了。
- 1 回答
- 0 關注
- 139 瀏覽
添加回答
舉報
0/150
提交
取消