核心驅動程式中擷取目前使用者進程的進程名的一種方法

核心驅動程式中擷取目前使用者進程的進程名的一種方法

在核心驅動程式中，可以通過PsGetCurrentProcess函數來擷取當前調用驅動的進程的EPROCESS結構的地址．很多文章都說在EPROCESS結構的0x174位移處存放著進程名．這裡提供另外一種方法來擷取這個進程名．思路如下：驅動程式的載入函數DriverEntry是運行在System進程中的．通過PsGetCurrentProcess可以擷取System進程的核心EPROCESS結構的地址，然後從該地址開始尋找"System"字串．找到後，便是EPROCESS的進程名存放的位移處．得到進程名在EPROCESS結構的位移後，以後的進程調用驅動的時候，就可以直接在該位移處擷取當前進程名．代碼如下：

 

DWORD GetProcessNameOffset()

{

    PEPROCESS curproc;

    DWORD procNameOffset;

    curproc = PsGetCurrentProcess();

    for(int i=0; i< 4096; i++)

    {

        if( !strncmp( "System", (PCHAR) curproc + i, strlen("System") ))

        {
            procNameOffset = i;

            return procNameOffset;

        }

    }

    return 0;
}