《Windows内核原理与实现》中定义的EPROCESS

最新推荐文章于 2022-10-23 12:38:03 发布

trents

最新推荐文章于 2022-10-23 12:38:03 发布

阅读量1.1k

点赞数

分类专栏：驱动文章标签： windows integer struct list table c

本文链接：https://blog.csdn.net/trents/article/details/7299777

版权

本文基于《Windows内核原理与实现》，深入探讨EPROCESS结构，包括CommitCharge、CommitChargeLimit、CommitChargePeak和VadRoot等关键字段，解析Windows内核管理进程的方式。

摘要由CSDN通过智能技术生成

《Windows内核原理与实现》中，定义的EPROCESS结构如下：

（注，没改偏移地址，不能直接使用偏移地址）

typedef struct _EPROCESS {

    KPROCESS                        Pcb; // +0x000
    EX_PUSH_LOCK                    ProcessLock; // +0x06c
    LARGE_INTEGER                   CreateTime; // +0x070
    LARGE_INTEGER                   ExitTime; // +0x078
    EX_RUNDOWN_REF                  RundownProtect; // +0x080
    ULONG                           UniqueProcessId; // +0x084
    LIST_ENTRY                      ActiveProcessLinks; // +0x088
    ULONG                           QuotaUsage[3]; // +0x090
    ULONG                           QuotaPeak[3]; // +0x09c

ULONG CommitCharge; // +0x0a8

ULONG CommitChargeLimit;

ULONG CommitChargePeak;

    ULONG                           PeakVirtualSize; // +0x0ac
    ULONG                           VirtualSize; // +0x0b0
    LIST_ENTRY                      SessionProcessLinks; // +0x0b4
    PVOID                           DebugPort; // +0x0bc
    PVOID                           ExceptionPort; // +0x0c0
    PHANDLE_TABLE                   ObjectTable; // +0x0c4
    EX_FAST_REF                     Token; // +0x0c8
    ULONG                           WorkingSetPage; // +0x0cc
    KGUARDED_MUTEX