修正版ByHSQ.PDFVIP

关于XP SP3 系统下NtUserCreateWindowEx 原型分析(修正版) 关于XP SP3 系统下NtUserCreateWindowEx 原型分析 修正版 By HSQ 说明：其实以前就因为需要用到这个函数来处理一些特定窗口，苦于没有该API 原型，最后自己也是草草的DBG 了一下，可弄错来的结果还是有偏差。最近再次用那些东西试试效果，居然发现用起来完全形同虚设。可能是系 统升级后，原来蒙的偏移量改变了。乘着闲来无事，干脆下决心给彻底弄清楚其原型。顺便将分析过程记录存档， 以便共享后来者和遗忘是查阅。 1. 其最终由WIN32K.SYS 实现 2. 调用流程 第 1 页 共 7 页 关于XP SP3 系统下NtUserCreateWindowEx 原型分析(修正版) 3. 参数传递经过 3.1 CreateWindowEx （CreateWindowExW/A ） 先从2k 源码看参数传递过程开始分析 注意：在2K 中没有CreateWindowExW/A 之分,这也正是需要对NtUserCreateWindowEx 进行重新分析的原因 CreateWindowEx 没有对参数进行任何处理，而是追加一个参数后直接调用_CreateWindowEx 3.2 _CreateWindowEx 可见，在2k 时，是通过是否定义了 这个标志来调用相应版本的API，及 来确定是 W/A 之分的。而在XP 中，已经存CreateWindowExW/A 之分了，在通过IDA 分析可知 对于 的调用： 第 2 页 共 7 页 关于XP SP3 系统下NtUserCreateWindowEx 原型分析(修正版) 对于 的调用： 即A 版本的 = ，W 版本为 ，其他参数都沿袭2K 。 _CreateWindowEx 进行一些处理后接着开始进入下一层调用，这里XP 与2K 处理有些差异。 3.3 NtUserCreateWindowEx （VerNtUserCreateWindowEx ） A. 在2K 中，到次就直接进入了NtUserCreateWindowEx 流程 NtUserCreateWindowEx 的原型： 第 3 页 共 7 页 关于XP SP3 系统下NtUserCreateWindowEx 原型分析(修正版) 至此，用户层的处理已经结束。 B.而在XP 中，却还得经过一个VerNtUserCreateWindowEx 调用才会进入NtUserCreateWindowEx 流程。结合 2K 的源码，拿 IDA 的F5 初步分析，猜测 VerNtUserCreateWindowEx 应该就是以前NtUserCreateWindowEx 的 函数 再看看该处使用到的一些字符结构 由此可见PLARGE_STRING 是PLARGE_ANSI_STRING 与PLARGE_UNICODE_STRING 的通用结构， 而 VerNtUserCreateWindowEx 内代码片无非是根据上层函数传入的 进行做 A/W 的配对吻合而已，故 最终确定其原型应该为 第 4 页 共 7 页 关于XP SP3 系统下NtUserCreateWindowEx 原型分析(修正版) 在此基础上，用IDA 进行分析看得出NtUserCreateWindowEx 的最终原型基本为， 4. 最终整理XP SP3 下得到真正的NtUserCreateWindowEx 由于昨晚马虎，依据以前的经验，直接认为传到内核后所有的字