易语言进程跳转源码

系统结构:进程初始化,进程映像大小,进程映像基址,RawOffset,取oep,取字节集指针,CloseHandle,RtlAdjustPrivilege,ReadProcessMemory,ZwOpenProcess,ZwClose,CreateToolhelp32Snapshot,Module32First,

======进程操作程序集
           |  |
           |  |------ __启动窗口_创建完毕
           |  |
           |  |------ 进程初始化
           |  |
           |  |------ _Dump_被选择
           |  |
           |  |------ 进程映像大小
           |  |
           |  |------ 进程映像基址
           |  |
           |  |------ RawOffset
           |  |
           |  |------ 取oep
           |  |
           |  |------ _超级列表框_进程列表_右键单击表项
           |  |
           |  |------ 取字节集指针
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   CloseHandle
           |  |
           |  |---[dll]------   RtlAdjustPrivilege
           |  |
           |  |---[dll]------   ReadProcessMemory
           |  |
           |  |---[dll]------   ZwOpenProcess
           |  |
           |  |---[dll]------   ZwClose
           |  |
           |  |---[dll]------   CreateToolhelp32Snapshot
           |  |
           |  |---[dll]------   Module32First

调用的DLL命令:

.DLL命令 CloseHandle, , , "CloseHandle", , 关闭一个内核对象
    .参数 ProcessHandle, 整数型, , 对象句柄

.DLL命令 RtlAdjustPrivilege, 整数型, "ntdll.dll", "RtlAdjustPrivilege"
    .参数 Privilege, 整数型, , 所需要的权限名称
    .参数 Enable, 整数型, , 如果为True 就是打开相应权限，如果为False 则是关闭相应权限
    .参数 CurrentThread, 整数型, , 如果为True 则仅提升当前线程权限，否则提升整个进程的权限
    .参数 Enabled, 整数型, 传址, 输出原来相应权限的状态  打开|关闭

.DLL命令 ReadProcessMemory, 逻辑型, , "ReadProcessMemory"
    .参数 hProcess, 整数型
    .参数 lpBaseAddress, 整数型
    .参数 lpBuffer, 整数型
    .参数 nSize, 整数型
    .参数 lpNumberOfBytesRead, 整数型, 传址

.DLL命令 ZwOpenProcess, 整数型, "ntdll.dll", "ZwOpenProcess", , *
    .参数 hProcess, 整数型, 传址
    .参数 DesiredAccess, 整数型
    .参数 pObjectAttributes, 字节型, 传址 数组
    .参数 pClientId, ClientId

.DLL命令 ZwClose, 整数型, "ntdll.dll", "ZwClose"
    .参数 hProcess, 整数型, ,  

.DLL命令 CreateToolhelp32Snapshot, 整数型, "kernel32.dll", "CreateToolhelp32Snapshot", 公开, 返回快照后的句柄
    .参数 快照标志, 整数型, , 进程＝15，线程=4，DLL＝8，堆=
    .参数 进程标识符, 整数型, , lProcessID 欲照快照的进程标识符

.DLL命令 Module32First, 整数型, "kernel32.dll", "Module32First", 公开
    .参数 快照句柄, 整数型, , hSnapshot
    .参数 模块进程结构, MODULEENTRY32, 传址, uProcess