在Ring0下获取进程路径

最新推荐文章于 2022-07-27 05:42:55 发布

chenhui530

最新推荐文章于 2022-07-27 05:42:55 发布

阅读量3.7k

点赞数

分类专栏：驱动文章标签： buffer object string file

本文链接：https://blog.csdn.net/chenhui530/article/details/3053049

版权

驱动专栏收录该内容

1 篇文章 0 订阅

订阅专栏

程序演示了在Ring0下通过FILE_OBJECT获取文件路径（至于怎么从EPROCESS获取FILE_OPBJECT就不要再问我了）

BOOLEAN GetProcessImageName(PFILE_OBJECT FileObject,LPSTR ProcessImageName)
{
NTSTATUS ntStatus=STATUS_BUFFER_OVERFLOW;
ULONG uSize=1;
UNICODE_STRING ustrDosName={0};
PFILE_NAME_INFORMATION NameInfo = NULL;
BOOLEAN blnRet=FALSE;
if (!ProcessImageName ||
  !MmIsAddressValid(FileObject) ||
  !MmIsAddressValid(FileObject->DeviceObject))
  return FALSE;
NameInfo = ExAllocatePool(PagedPool,uSize * 0x200);
if (!NameInfo) return FALSE;
ntStatus=IrpQueryInformationFile(FileObject,NameInfo,uSize * 0x200,FileNameInformation);
while (ntStatus==STATUS_BUFFER_OVERFLOW)
{
  ExFreePool(NameInfo);
  uSize++;
  NameInfo = ExAllocatePool(PagedPool,uSize * 0x200);
  ntStatus=IrpQueryInformationFile(FileObject,NameInfo,uSize * 0x200,FileNameInformation);
}
if (NT_SUCCESS(ntStatus))
{
  if (KeGetCurrentIrql()==PASSIVE_LEVEL)
  {
   ntStatus=RtlVolumeDeviceToDosName(FileObject->DeviceObject,&ustrDosName);
   if (NT_SUCCESS(ntStatus))
   {
    WCHAR strFileName[260]={0};
    UNICODE_STRING ustrFileName;
    STRING astrFileName={0};
    wcscpy(strFileName,ustrDosName.Buffer);
    if (NameInfo->FileNameLength<512)
    {
     wcscat(strFileName,NameInfo->FileName);
    }
    else
    {
     memcpy(&strFileName[2],NameInfo->FileName,511);
    }
    RtlInitUnicodeString(&ustrFileName,strFileName);
    if (RtlUnicodeStringToAnsiString(&astrFileName,&ustrFileName,TRUE)==STATUS_SUCCESS)
    {
     strcpy(ProcessImageName,astrFileName.Buffer);
     RtlFreeAnsiString(&astrFileName);
     DbgPrint("路径：%s/n",ProcessImageName);
     blnRet=TRUE;
    }
    RtlFreeUnicodeString(&ustrDosName);
   }
  }
}
if (NameInfo) ExFreePool(NameInfo);
return blnRet;
}