SECTION_IMAGE_INFORMATION

Недокументированные функции NTDLL

26 ноября 2000

typedef struct _SECTION_IMAGE_INFORMATION {

  PVOID                   EntryPoint;
  ULONG                   StackZeroBits;
  ULONG                   StackReserved;
  ULONG                   StackCommit;
  ULONG                   ImageSubsystem;
  WORD                    SubSystemVersionLow;
  WORD                    SubSystemVersionHigh;
  ULONG                   Unknown1;
  ULONG                   ImageCharacteristics;
  ULONG                   ImageMachineType;
  ULONG                   Unknown2[3];

} SECTION_IMAGE_INFORMATION, *PSECTION_IMAGE_INFORMATION;

Структура SECTION_IMAGE_INFORMATION возвращается в результате вызова NtQuerySection с классом информации SectionImageInformation. Система автоматически проверяет тип и содержимое объекта "Файл", переданного в качестве параметра в функцию NtCreateSection, и устанавливает бит SEC_IMAGE в атрибутах секции.

Эта структура очень полезна при создании процесса, так как перед вызовом можно проверить все интересующие поля заголовка PE непосредственно перед вызовом NtCreateProcess и без отображения секции в память целевого процесса.