[转载]通过PsGetCurrentProcess函数获取函数名

Posted 2020-06-12

本文转载自: http://www.cnblogs.com/xiaojinma/archive/2012/12/07/2806543.html

 

通过PsGetCurrentProcess函数来获取当前调用驱动的进程的EPROCESS结构的地址.EPROCESS结构的0x174偏移处存放着进程名.

思路如下:
驱动程序的加载函数DriverEntry是运行在System进程中的．
(1) 通过PsGetCurrentProcess可以获取System进程的内核EPROCESS结构的地址,
(2) 从该地址开始寻找"System"字符串．
(3) 找到了便是EPROCESS的进程名存放的偏移处,得到进程名在EPROCESS结构的偏移后,
(4) 进程调用驱动的时候,就可以直接在该偏移处获取当前进程名．

代码如下:

DWORD GetProcessNameOffset()
{

    PEPROCESS curproc;
    DWORD procNameOffset;
    //获取EPROCESS结构的地址
    curproc = PsGetCurrentProcess();
    for(int i=0; i< 4096; i++)
    {
        if( !strncmp( "System", (PCHAR) curproc + i, strlen("System") ))
        {
            procNameOffset = i;
            return procNameOffset;
        }
    }
    return 0;
}