看流星社区

 找回密码
 注册账号
查看: 2221|回复: 0

在内核驱动中,获得到当前进程的全路径。

[复制链接]

该用户从未签到

发表于 2013-2-7 08:56:27 | 显示全部楼层 |阅读模式
作者:guijc
在应用层想要获得一个进程的全路径,有一个很简单的API函数,但是在内核中却没有提供这样的函数,上次看了一位前辈的帖子,根据他的思路写出了下面的代码,欢迎大家的评论


代码思路如下:
1. 利用ZwQueryInformationProcess得到当前进程的NT路径
2. 用ZwOpenFile打开NT路径,获得进程的句柄
3. 用ObReferenceObjectByHandle获得内核对象(FileObj)
4. 获得盘符(C:\),RtlVolumeDeviceToDosName(FileObj->DeviceObject, &DosName);
5. 拼接路径,RtlAppendUnicodeStringToString(&ImageName, &FileObj->FileName);

好了废话不多,直接上代码:
  1. void GetProcessImageName(PANSI_STRING ImageFileName)
  2. {  
  3.     UNICODE_STRING  ImageName = {0};
  4.     PUNICODE_STRING Buffer = NULL;
  5.     ULONG ReturnLength = 0;
  6.     NTSTATUS status = 0;  

  7.     HANDLE FileHandle = NULL;
  8.     OBJECT_ATTRIBUTES ObjectAttributes = {0};
  9.     IO_STATUS_BLOCK IoStatusBlock = {0};
  10.     PFILE_OBJECT FileObj = NULL;
  11.     UNICODE_STRING DosName = {0};

  12.     status = ZwQueryInformationProcess(
  13.                             NtCurrentProcess(),
  14.                             ProcessImageFileName,
  15.                             NULL,
  16.                             0,
  17.                             &ReturnLength);

  18.     if(STATUS_INFO_LENGTH_MISMATCH != status ||  0 == ReturnLength){
  19.         return;
  20.     }

  21.     Buffer = ExAllocatePool(NonPagedPool, ReturnLength);
  22.     if(NULL == Buffer){
  23.         goto Clean;
  24.     }
  25.    
  26.     status = ZwQueryInformationProcess(
  27.                             NtCurrentProcess(),
  28.                             ProcessImageFileName,
  29.                             Buffer,
  30.                             ReturnLength,
  31.                             &ReturnLength);

  32.     if(!NT_SUCCESS(status)){
  33.         goto Clean;
  34.     }

  35.     InitializeObjectAttributes( &ObjectAttributes,
  36.                             Buffer,
  37.                             OBJ_KERNEL_HANDLE,
  38.                             NULL,
  39.                             NULL );

  40.     status = ZwOpenFile(&FileHandle, 0, &ObjectAttributes, &IoStatusBlock, 0, 0);
  41.     if (!NT_SUCCESS (status)){
  42.        goto Clean;
  43.     }

  44.     status = ObReferenceObjectByHandle(FileHandle, 0, NULL, KernelMode, &FileObj, NULL);
  45.     if (!NT_SUCCESS (status)){
  46.        goto Clean;
  47.     }

  48.     if(FileObj->DeviceObject && FileObj->FileName.Buffer){
  49.    
  50.         RtlVolumeDeviceToDosName(FileObj->DeviceObject, &DosName);

  51.         ImageName.MaximumLength = DosName.Length + FileObj->FileName.Length;
  52.         ImageName.Buffer = ExAllocatePool(NonPagedPool, ImageName.MaximumLength);        

  53.         RtlCopyUnicodeString(&ImageName, &DosName);
  54.         RtlAppendUnicodeStringToString(&ImageName, &FileObj->FileName);
  55.         
  56.         RtlUnicodeStringToAnsiString(ImageFileName ,&ImageName, TRUE);
  57.         RtlFreeUnicodeString(&ImageName);
  58.         RtlFreeUnicodeString(&DosName);
  59.     }
  60.    
  61. Clean:

  62.     if(Buffer){
  63.         ExFreePool (Buffer);
  64.     }

  65.     if(FileHandle){
  66.         ZwClose(FileHandle);
  67.     }   

  68.     if(FileObj){
  69.         ObDereferenceObject(FileObj);
  70.     }

  71. }
复制代码
点击按钮快速添加回复内容: 支持 高兴 激动 给力 加油 苦寻 生气 回帖 路过 感恩
您需要登录后才可以回帖 登录 | 注册账号

本版积分规则

小黑屋|手机版|Archiver|看流星社区 |网站地图

GMT+8, 2024-3-29 08:50

Powered by Kanliuxing X3.4

© 2010-2019 kanliuxing.com

快速回复 返回顶部 返回列表