Windows 驱动：获取当前进程名

最新推荐文章于 2024-08-10 16:34:42 发布

Rain7758

最新推荐文章于 2024-08-10 16:34:42 发布

阅读量6.9k

点赞数

分类专栏： Windows 内核驱动文章标签： windows initialization system structure interface buffer

本文链接：https://blog.csdn.net/iamrainliang/article/details/2065572

版权

这篇博客介绍了如何在Windows驱动中获取当前进程的名字。通过扫描KPEB（Kernel Process Environment Block）来确定进程名的偏移量，并提供了一个初始化接口及函数，用于在驱动加载时获取和返回进程名称。

摘要由CSDN通过智能技术生成

这是一个比较简单的问题，在 REGON 的源码中可以找到实现的相关代码，我只是把它们整理封装了一下。

//
// Process name max length: by bytes
// (This value is 16 bytes in RegMon)
//
#define MAX_PROC_NAME_LEN 256
//
// This is the offset into a KPEB of the current process name. This is determined
// dynamically by scanning the process block belonging to the GUI for its name.
//
ULONG ProcessNameOffset = 0;

//----------------------------------------------------------------------
//
// GetProcessNameOffset
//
// In an effort to remain version-independent, rather than using a
// hard-coded into the KPEB (Kernel Process Environment Block), we
// scan the KPEB looking for the name, which should match that
// of the GUI process
//
//----------------------------------------------------------------------