hrbqian快来！！！！！！！！！！！！！！！！！！！！！！！！！！只有你能解决的问题！！！

[111222]

test1.exe完美的实现了监视win98下的程序时候打开了端口...

我学蔬才浅...想下手弄清楚win2k/nt下的实现，却还是一点思路没有...

我该怎么下手？

我该怎么办？

我先鞠一躬了，恳请指教！！！！！

[Imbeginner]

听课？
啊...睡会儿先
嘿，楼上的，下课了，别忘叫我
还有，楼下的，到时候，笔记借俺抄抄
啊，睡了
....。。。。oooo 0000 OOOOO 0000 oooo 。。。。....

[hrbqian]

正在努力...
绿色兵团的防火墙实现了这个功能，不知是自己的技术，还是买老外的技术。

[xyzboat]

在找工作还不好好准备，在这瞎折腾----跟你开个玩笑，别介意.

[111222]

xyzboat:
找工作------>我行地！
我一定把少林功夫发扬光大，
努力投身于无止境地VC++中去!!

[ssh_zy]

啥叫监视打开端口呀？如果是网络端口，可以用hook或是“外衣”等等等等……

[土豆]

先把问题说清楚，高手并不只有xyzboat一个，也许其他人也能解决。

[111222]

问题：怎么知道自己机器的哪些端口被打开了？能确定是自己机器的哪个软件打开的么？


hrbqian回答：

在 win9x 下 进程 id 是内核进程结构地址做一个变换的值。具体怎么做?
可以 跟踪 GetCurrentProcessId() 这个 api 函数。
内核进程结构中偏移量 0x44 处是该进程使用的所有句柄列表的地址。

system objects 中
在 95 的时候 pipe -- 14 mailslot -- 15 socket -- 17
到 98 的时候 每一个到加 2 。
句柄只在进程内有意义，所以应该没有相关的映射表。

这种具体方法在 nt/2k 上不适用。但原理一样，在老外的 nt/2k 的程序中也是
通过进程 id 得到的端口，使用方法是未公开的函数，和一些我还没看明白的转换。

98 下关于进程的核心信息放在，2G 以上的核心区，该区对每个进程都有映射。
所以可以用直接内存地址进行访问。而且 98 的进程 id 本身就是进程核心地址
的一种变换。

[111222]

我想知道的就是：

上面方法在WIN2K/NT上的具体实现（我的C333都装不上WIN2K....555555~~）

[Kevin_qing]

嘿嘿～～～

[111222]

请指教！！！！！！！！

[Kevin_qing]

我是来听课的～～～～～～

[wjyasd]

看看……

[seedundersnow]

听课

[舟中夜起]

其实你可以直接监视系统所有IP数据流（我就是这么实现的，效果不错），不然你还要定期轮询SOCKET句柄，效果不大好

[111222]

Kronus:

你监视ＩＰ流的程序是怎么做的？我在程序沙龙下载了几个监视程序，都不好用...
　　　到现在也没有弄出来。

　　　那么....用驱动程序监视进程好不好呢？

[舟中夜起]

用全局Hook Api的方法监视系统所有进程中与socket相关的API就可以了。

我也用驱动程序试过，连路由经过本机的数据流都可以监视到，影响系统性能，感觉不好。

[111222]

http://www.chinawolf.com/~lu0/sys/2k0728.html

这篇《EPROCESS:NT进程的核心》有没有帮助啊？

[maxsuy]

up