关于进程名的交流(直接使用API取完整进程路径)

YOUBADBAD

一般我们获取进程名都是用 “PsGetProcessImageFileName” 取到 16个字节 然鹅 今天突然用了一下这个函数 "SeLocateProcessImageName"
发现，PsGetProcessImageFileName（eproc）的时候，可以打印System，
而用 SeLocateProcessImageName（eproc，&UsImageName）的时候，取到别的程序全路径是正常的，而system的值是Null。

一开始是以为代码出了问题
后面通过windbg打印了才发现
人家本来就是空的

当然了，这个发现或许并没啥卵用，目的是发个贴交流心得

Tesla.Angela

经研究，该函数在NT5时代就已经存在，从VISTA-6000开始导出。
数据从EPROCESS->SeAuditProcessCreationInfo.ImageFileName->Name里取出。

1. NTSTATUS SeLocateProcessImageName
   
2. (
   
3.     __in PEPROCESS Process,
   
4.     __deref_out PUNICODE_STRING *pImageFileName
   
5. )
   
6. {
   
7.         NTSTATUS                 Status            = STATUS_SUCCESS;
   
8.         PVOID                    FilePointer       = NULL;
   
9.         PVOID                    PreviousValue     = NULL;
   
10.         POBJECT_NAME_INFORMATION pProcessImageName = NULL;
    
11.         PUNICODE_STRING          pTempUS           = NULL;
    
12.         ULONG                    NameLength        = 0;
    
13.         PAGED_CODE();
    
14.         *pImageFileName = NULL;
    
15.         if (NULL == Process->SeAuditProcessCreationInfo.ImageFileName)
    
16.         {
    
17.                 //
    
18.                 // The name has not been predetermined.  We must determine the process name.   First, reference the
    
19.                 // PFILE_OBJECT and lookup the name.  Then again check the process image name pointer against NULL.
    
20.                 // Finally, set the name.
    
21.                 //
    
22.                 Status = PsReferenceProcessFilePointer( Process, &FilePointer );
    
23.                 if (NT_SUCCESS(Status))
    
24.                 {
    
25.                         //
    
26.                         // Get the process name information.
    
27.                         //
    
28.                         Status = SeInitializeProcessAuditName(
    
29.                                      FilePointer,
    
30.                                      TRUE, // skip audit policy
    
31.                                      &pProcessImageName // to be allocated in nonpaged pool
    
32.                                  );
    
33.                         if (NT_SUCCESS(Status))
    
34.                         {
    
35.                                 //
    
36.                                 // Only use the pProcessImageName if the field in the process is currently NULL.
    
37.                                 //
    
38.                                 PreviousValue = InterlockedCompareExchangePointer(
    
39.                                                     (PVOID *) &Process->SeAuditProcessCreationInfo.ImageFileName,
    
40.                                                     (PVOID) pProcessImageName,
    
41.                                                     (PVOID) NULL
    
42.                                                 );
    
43.                                 if (NULL != PreviousValue)
    
44.                                 {
    
45.                                         ExFreePool(pProcessImageName); // free what we caused to be allocated.
    
46.                                 }
    
47.                         }
    
48.                         ObDereferenceObject( FilePointer );
    
49.                 }
    
50.         }
    
51.         if (NT_SUCCESS(Status))
    
52.         {
    
53.                 //
    
54.                 // Allocate space for a buffer to contain the name for returning to the caller.
    
55.                 //
    
56.                 NameLength = sizeof(UNICODE_STRING) + Process->SeAuditProcessCreationInfo.ImageFileName->Name.MaximumLength;
    
57.                 pTempUS = ExAllocatePoolWithTag( NonPagedPool, NameLength, 'aPeS' );
    
58.                 if (NULL != pTempUS)
    
59.                 {
    
60.                         RtlCopyMemory(
    
61.                             pTempUS,
    
62.                             &Process->SeAuditProcessCreationInfo.ImageFileName->Name,
    
63.                             NameLength
    
64.                         );
    
65.                         pTempUS->Buffer = (PWSTR)(((PUCHAR) pTempUS) + sizeof(UNICODE_STRING));
    
66.                         *pImageFileName = pTempUS;
    
67.                 }
    
68.                 else
    
69.                 {
    
70.                         Status = STATUS_NO_MEMORY;
    
71.                 }
    
72.         }
    
73.         return Status;
    
74. }

复制代码

在对路径可靠性要求不高的情况下可以直接使用。

gfw

好方法