通过进程ID得到进程名

最新推荐文章于 2024-08-26 02:29:20 发布

原创最新推荐文章于 2024-08-26 02:29:20 发布 · 1.1w 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#attributes #object #access #string #file

Rootkit/驱动底层专栏收录该内容

13 篇文章

订阅专栏

本文介绍两种在内核环境中通过进程ID获取进程名称的方法。一种是利用ZwOpenProcess和ObReferenceObjectByHandle结合固定偏移量直接读取；另一种是通过PsGetProcessImageFileName函数获取。文中提供了具体的实现代码。

在内核中，通过进程ID，得到进程名称，有多种方法。

我使用了两种方法，第一种是使用ZwOpeProcess得到句柄

然后ObReferenceObjectByHandle函数得到PEPROCESS结构，然后

char *ProcessName = (char*)EProcess + 0x174;

第二种方法是得到PEPROCESS结构之后，使用PsGetProcessImageFileName函数得到进程名。

具体代码如下：

#include<ntddk.h> #include<wdm.h> UCHAR* PsGetProcessImageFileName(PEPROCESS Process); NTSTATUS Unload(IN PDRIVER_OBJECT DriverObject) { DbgPrint("驱动已经卸载/n"); } void GetProcessName(ULONG dwPid) { HANDLE ProcessHandle; NTSTATUS status; OBJECT_ATTRIBUTES ObjectAttributes; CLIENT_ID myCid; PEPROCESS EProcess; InitializeObjectAttributes(&ObjectAttributes,0,0,0,0); myCid.UniqueProcess = (HANDLE)dwPid; myCid.UniqueThread = 0; //打开进程，获取句柄 status = ZwOpenProcess (&ProcessHandle,PROCESS_ALL_ACCESS,&ObjectAttributes,&myCid); if (!NT_SUCCESS(status)) { DbgPrint("打开进程出错/n"); return; } //得到EPROCESS，结构中取进程名 status = ObReferenceObjectByHandle(ProcessHandle,FILE_READ_DATA,0,KernelMode,&EProcess, 0); if (status == STATUS_SUCCESS) { char *ProcessName = (char*)EProcess + 0x174; char *PsName = PsGetProcessImageFileName(EProcess); DbgPrint("ProcessName is %s/n",ProcessName); DbgPrint("PsName is %s/n",PsName); ZwClose(ProcessHandle); } else { DbgPrint("Get ProcessName error"); } } NTSTATUS DriverEntry( IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath ) { DbgPrint("驱动已经加载了/n"); GetProcessName(2044); DriverObject->DriverUnload = Unload; return STATUS_SUCCESS; }