现在不必掌握此结构中每个字段的具体意思,只要清楚系统创建进程的过程即可。一个进程可以调用GetStartupInfo函数来取得父进程创建自己时使用的STARTUPINFO结构。事实上,Windows 系统就是通过调用这个函数来取得当前进程的创建信息,以便对新进程中主窗口的属性设置默认值。

函数定义如下:
VOID GetStartupInfo(LPSTARTUPINFO lpStartupInfo); // 取得当前进程被创建时指定的STARTUPINFO结构。

定义一个 STARTUPINFO 结构的对象以后,总要在使用此对象之前将对象的 cb 成员初始化为 STARTUPINFO结构的大小,如下所示:
STARTUPINFO si = { sizeof(si) }; // 将cb成员初始化为sizeof(si),其他成员初始化为0 。
::GetStartupInfo(&si);

在使用 CreateProcess 创建进程时,需要传递 
STARTUPINFO 的结构的指针,
而常常我们并不会一个一个设置其结构的值,
连把其他不用的值清0都会忽略,
而 ollydbg 也这样做了,
我们可以使用 GetStartupInfo 检查启动信息,
如果很多值为”不可理解”的,那么就说明自己不是由 explorer 来创建的.(explorer.exe 使用 shell32 中 ShellExecute 的来运行程序, ShellExecute 会清不用的值)

 
#include <windows.h>
#include <stdio.h>
#pragma comment(linker, "/subsystem:windows /entry:main")

int main()
{
    STARTUPINFO si;
 GetStartupInfo(&si);
     if (
     (si.dwX != 0) ||
     (si.dwY != 0) ||
     (si.dwXCountChars != 0) ||
     (si.dwYCountChars != 0) ||
     (si.dwFillAttribute != 0) ||
     (si.dwXSize != 0) ||
     (si.dwYSize != 0) ||
     (si.dwFlags & STARTF_FORCEOFFFEEDBACK)
     )
    {
     MessageBox(NULL, "found debugger!", NULL, 0);
    }
    else
    {
     MessageBox(NULL, "no found debugger!", NULL, 0);
    }
     return 0;
} 

最后修改日期:2020年5月25日

作者