一段比较有用的代码，顺手还原了一下

今天在看一驱动的时候发现了一段比较有用的代码，主要功能就是用来确定ImageFileName成员在EPROCESS结构中的偏移的，如下 ：

 FindNameOffset  proc near               ; CODE XREF: sub_10966+1Dp
.text:000107F0                 push    ebx
.text:000107F1                 push    esi             ; size_t
.text:000107F2                 push    edi             ; char *
.text:000107F3                 call    ds:IoGetCurrentProcess
.text:000107F9                 mov     ebx, eax        ; EPROCESS
.text:000107FB                 xor     edi, edi
.text:000107FD                 mov     esi, offset aRxrsdl ; "System"
.text:00010802
.text:00010802 loc_10802:                              ; CODE XREF: FindNameOffset+32j
.text:00010802                 push    esi             ; char * = "System"
.text:00010803                 call    strlen
.text:00010808                 push    eax             ; size_t = 6
.text:00010809                 lea     eax, [edi+ebx]
.text:0001080C                 push    eax             ; char *
.text:0001080D                 push    esi             ; char *
.text:0001080E                 call    ds:strncmp
.text:00010814                 add     esp, 10h
.text:00010817                 test    eax, eax
.text:00010819                 jz      short loc_1082A ; 找到
.text:0001081B                 inc     edi
.text:0001081C                 cmp     edi, 3000h
.text:00010822                 jl      short loc_10802 ; 未找到
.text:00010824                 xor     eax, eax
.text:00010826
.text:00010826 loc_10826:                              ; CODE XREF: FindNameOffset+3Cj
.text:00010826                 pop     edi
.text:00010827                 pop     esi
.text:00010828                 pop     ebx
.text:00010829                 retn
.text:0001082A ; 哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪? .text:0001082A
.text:0001082A loc_1082A:                              ; CODE XREF: FindNameOffset+29j
.text:0001082A                 mov     eax, edi
.text:0001082C                 jmp     short loc_10826
.text:0001082C FindNameOffset  endp

之所以说它有用，是因为我平时在写的时候会switch case来区分操作系统的版本，然而用这段代码就可以省掉这些了。由于这段代码比较简单，就顺手用C还原了一下：

DWORD FindImageNameOffset()
{
    char aRxrsdl[] = "System";
    UINT unIndex = 0, unNameLength;
    PVOID pEprocess = IoGetCurrentProcess();
    unNameLength = strlen(aRxrsdl);    
    for (; unIndex < 0x3000; ++unIndex)
    {
        if (!strncmp(aRxrsdl, pEprocess[unIndex], unNameLength )
            return unIndex;
    }
    return 0;
}
这段代码没有经过测试，不过应该是正确的！