通过进程ID得到进程名

柔情只为你懂 2022-09-24 05:22 508阅读 0赞

在内核中，通过进程ID，得到进程名称，有多种方法。

我使用了两种方法，第一种是使用ZwOpeProcess得到句柄

然后ObReferenceObjectByHandle函数得到PEPROCESS结构，然后

char *ProcessName = (char*)EProcess + 0x174;

第二种方法是得到PEPROCESS结构之后，使用PsGetProcessImageFileName函数得到进程名。

具体代码如下：

[cpp] view plain copy

  1. #include
  2. #include
  4. UCHAR* PsGetProcessImageFileName(PEPROCESS Process);
  6. NTSTATUS Unload(IN PDRIVER_OBJECT DriverObject)
  7. {
  8. DbgPrint(“驱动已经卸载/n”);
  9. }
  11. void GetProcessName(ULONG dwPid)
  12. {
  13. HANDLE ProcessHandle;
  14. NTSTATUS status;
  15. OBJECT_ATTRIBUTES ObjectAttributes;
  16. CLIENT_ID myCid;
  17. PEPROCESS EProcess;
  19. InitializeObjectAttributes(&ObjectAttributes,0,0,0,0);
  21. myCid.UniqueProcess = (HANDLE)dwPid;
  22. myCid.UniqueThread = 0;
  24. //打开进程，获取句柄
  25. status = ZwOpenProcess (&ProcessHandle,PROCESS_ALL_ACCESS,&ObjectAttributes,&myCid);
  26. if (!NT_SUCCESS(status))
  27. {
  28. DbgPrint(“打开进程出错/n”);
  29. return;
  30. }
  32. //得到EPROCESS，结构中取进程名
  33. status = ObReferenceObjectByHandle(ProcessHandle,FILE_READ_DATA,0,KernelMode,&EProcess, 0);
  34. if (status == STATUS_SUCCESS)
  35. {
  36. char *ProcessName = (char*)EProcess + 0x174;
  37. char *PsName = PsGetProcessImageFileName(EProcess);
  39. DbgPrint(“ProcessName is %s/n”,ProcessName);
  40. DbgPrint(“PsName is %s/n”,PsName);
  42. ZwClose(ProcessHandle);
  43. }
  44. else
  45. {
  46. DbgPrint(“Get ProcessName error”);
  47. }
  48. }
  50. NTSTATUS
  51. DriverEntry(
  52. IN PDRIVER_OBJECT DriverObject,
  53. IN PUNICODE_STRING RegistryPath
  54. )
  55. {
  56. DbgPrint(“驱动已经加载了/n”);
  57. GetProcessName(2044);
  58. DriverObject->DriverUnload = Unload;
  59. return STATUS_SUCCESS;
  60. }

发表评论

表情：
评论列表 （有 0 条评论，508人围观）

还没有评论，来说两句吧...

相关阅读

    相关 通过进程ID获取基地址

    下面代码是通过进程ID来获取进程的[基地址][Link 1]，创建一个进程快照后，读取进程模块，一般情况下第一个模块就是进程的基地址，下面的程序通过模块的字符串匹配来找到基地址

    绝地灬酷狼绝地灬酷狼/ 0 赞/ 378 阅读