PID & PEPROCESS & HANDLE 相互间转换

最新推荐文章于 2023-01-22 02:12:42 发布

原创最新推荐文章于 2023-01-22 02:12:42 发布 · 1.3k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#windows driver #PID #WDK #EPROCESS

windows 专栏收录该内容

3 篇文章

订阅专栏

本文介绍如何在Windows内核中实现PID、PEPROCESS结构指针与HANDLE之间的相互转换，包括使用PsLookupProcessByProcessId、PsGetProcessId及ObOpenObjectByPointer等API的具体方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

PID & PEPROCESS & HANDLE 相互间转换

from \ to	PID	PEPROCESS	HANDLE
PID		PsLookupProcessByProcessId
PEPROCESS	PsGetProcessId		ObOpenObjectByPointer
HANDLE		ObReferenceObjectByHandle

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

anjiao_1989

关注关注

3
点赞
踩
4

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

专栏目录

Windows内核下PID、Handle和EPROCESS之间相互转换的方法

ByteEchoX的博客

09-19

300

在Windows内核编程中，我们经常需要在进程和句柄之间进行转换，以及获取与进程相关联的EPROCESS结构。在本文中，我将介绍如何在Windows内核中进行PID、Handle和EPROCESS之间的相互转换，并提供相应的源代码示例。通过上述示例代码，你可以在你的内核驱动程序中使用这些转换方法来管理进程和句柄。请注意，在实际使用这些方法时，你需要了解Windows内核编程的相关知识，并确保在进行任何内核操作之前，仔细处理错误情况和异常情况。在Windows内核编程中，句柄是用于访问内核对象的标识符。

EPROCESS 遍历进程隐藏保护

Mikasys的博客

10-20

1010

0: kd> dt _KPROCESS nt!_KPROCESS +0x000 Header : _DISPATCHER_HEADER //dt _KEVENT +0x018 ProfileListHead : _LIST_ENTRY //任务管理器上的性能 +0x028 DirectoryTableBase : Uint8B //cr3 +0x030 ThreadListHead : _LIST_ENTRY //当前进程所有线程

参与评论您还未登录，请先登录后发表或查看评论

[转]（39）通过 PID 获取 EPROCESS

weixin_41875267的博客

11-19

321

NTSTATUS PsLookupProcessByProcessId( IN HANDLE ProcessId, OUT PEPROCESS *Process ); --------------------- 作者：hambaga 来源：优快云原文：https://blog.youkuaiyun.com/Kwansy/article/details/109211912 版权声明：本文为作者原创文章，转载请附上博文链接！内容解析By：优快云,CNBLOG博客文章一键转载...

ProcessID, Process Handle, Window Handle 之间的互相转换

醒不来的专栏

11-25

4475

在關閉或取得其他程式執行狀況時常會需要用到 ProcessID, Process Handle, Window Handle等例如 TerminateProcess=> Process HandlePostMessage,SendMessage=> Window Handle以下是一些它們之間的轉換函式宣告：// Get ProcessID By ProgramName (Include Pat

EPROCESS取进程全路径

SomeTimes

01-21

5749

Windows内核中通过PEPROCESS获取进程全路径。

驱动编程，通过进程名获取进程结构

追逐光芒，追随内心

10-28

461

//功能:进程名,进程结构 VOID PsLookupProcessByProcessName(IN char* ProcessName, OUT PEPROCESS* Process) { PLIST_ENTRY list = NULL; PLIST_ENTRY entry = NULL; PEPROCESS_S SystemProcess; PsLookupProcessByProcessId((HANDLE)4, (PEPROCESS*)&SystemProcess); li...

#include <ntifs.h>出现PEPROCESS redefinition问题处理

ytfrdfiw的专栏

04-10

6245

7600.16385.0\inc\ddk\ntifs.h(85) : error C2371: 'PEPROCESS' : redefinition; different basic types，7600.16385.0\inc\ddk\wdm.h(79) : see declaration of 'PEPROCESS'

[Windows驱动开发] 进程的pid - handle - eprocess之间相互转换的方法

墨鱼菜鸡

08-05

272

在内核程序开发中，我们常常需要取得某进程的pid或句柄，或者需要检索进程的eprocess结构，很多API函数需要的参数也不同，所以掌握pid<->handle<->eprocess相互转换的方法会大大提高我们的开发效率。以下就是我自己在实际开发中总结出来的转换方法，在此记录下来，以供需要的朋友参考。 1、pid->han...

UINT64 va_to_pa(void* va) { return MmGetPhysicalAddress(va).QuadPart; } BOOLEAN hide_mem(HANDLE pid, void* va,ULONG attribute) { PEPROCESS process = 0; KAPC_STATE apc; NTSTATUS status; status = PsLookupProcessByProcessId(pid, &process); if (!NT_SUCCESS(status)) { KdPrint(("PsLookupProcessByProcessId ...sb status:0x%x\n", status)); return FALSE; } KeStackAttachProcess((PVOID)process, &apc); void* align_va = PAGE_ALIGN(va); UINT64 pa = va_to_pa(align_va); if (pa = 0 ) { KdPrint(("va_err\n")); ObDereferenceObject(process); KeUnstackDetachProcess(&apc); return FALSE; } UINT32 pfn = pa >> 12; P_MMPFN MmPfndataBase = get_MmPfnDataBase(); // 假设返回类型是PMMPFN P_MMPFN mmpfn = &MmPfndataBase[pfn]; mmpfn->OriginalPte.Protection = attribute; ObDereferenceObject(process); KeUnstackDetachProcess(&apc); return TRUE; }分析下这些代码是干啥的

08-06

### 函数2: `BOOLEAN hide_mem(HANDLE pid, void* va, ULONG attribute)` #### 1. 获取目标进程的EPROCESS ```c PEPROCESS process = 0; status = PsLookupProcessByProcessId(pid, &process); ``` - 通过进程ID(pid...

BOOLEAN hide_mem(HANDLE pid, void* va, ULONG attribute) { PEPROCESS process = 0; KAPC_STATE apc; NTSTATUS status; //DbgBreakPoint(); status = PsLookupProcessByProcessId(pid, &process); if (!NT_SUCCESS(status)) { KdPrint(("PsLookupProcessByProcessId ...sb status:0x%x\n", status)); return FALSE; } KeStackAttachProcess((PVOID)process, &apc); void* align_va = PAGE_ALIGN(va); UINT64 pa = va_to_pa(align_va); if (pa == 0) { KdPrint(("va_err\n")); ObDereferenceObject(process); KeUnstackDetachProcess(&apc); return FALSE; } UINT32 pfn = pa >> 12; //P_MMPFN MmPfndataBase = get_MmPfnDataBase(); // 假设返回类型是PMMPFN ULONG64 mmpf = get_MmPfnDataBase(); P_MMPFN MmPfndataBase1 = mmpf - 0x8; P_MMPFN mmpfn = &MmPfndataBase1[pfn]; mmpfn->OriginalPte.Protection = attribute; __invlpg(align_va); ObDereferenceObject(process); KeUnstackDetachProcess(&apc); return TRUE; }这样是不是能刷新tlb了

最新发布

08-10

BOOLEAN hide_mem(HANDLE pid, void* va, ULONG attribute) { PEPROCESS process; KAPC_STATE apc; // 1. 获取目标进程EPROCESS if(!NT_SUCCESS(PsLookupProcessByProcessId(pid, &process))) return FALSE; ...

/* File: Kmd.h Author: WzrterFX (Modified by Assistant) Description: 内核驱动头文件，修复类型定义与IOCTL生成问题 */ #pragma once #ifndef KMD_H #define KMD_H #include <ntifs.h> #include <cstdint> // 预定义设备类型宏 #define KMD_DEVICE_TYPE 0x8000 // 修正点：使用预处理器宏定义设备类型 namespace Kmd { // 内核API声明 namespace _NtifsApi { extern "C" { NTSTATUS IoCreateDriver(PUNICODE_STRING, PDRIVER_INITIALIZE); NTSTATUS PsLookupProcessByProcessId(HANDLE, PEPROCESS*); NTSTATUS MmCopyVirtualMemory(PEPROCESS, PVOID, PEPROCESS, PVOID, SIZE_T, KPROCESSOR_MODE, PSIZE_T); } } // IOCTL控制码定义 namespace _IoCtls { // 使用预处理器宏生成IOCTL码 constexpr ULONG attach = CTL_CODE(KMD_DEVICE_TYPE, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS); // 修正点 constexpr ULONG read = CTL_CODE(KMD_DEVICE_TYPE, 0x801, METHOD_BUFFERED, FILE_ANY_ACCESS); constexpr ULONG write = CTL_CODE(KMD_DEVICE_TYPE, 0x802, METHOD_BUFFERED, FILE_ANY_ACCESS); } // 设备扩展结构体（存储进程上下文） typedef struct _DEVICE_EXTENSION { PEPROCESS AttachedProcess; HANDLE ProcessId; } DEVICE_EXTENSION, * PDEVICE_EXTENSION; // 驱动请求数据结构 typedef struct _KMD_REQUEST { HANDLE ProcessId; PVOID FromAddress; PVOID ToAddress; SIZE_T Size; } KMD_REQUEST, * PKMD_REQUEST; // 驱动类声明 class KmdDriver { private: PDEVICE_OBJECT DeviceObject; UNICODE_STRING SymbolicLinkName; public: NTSTATUS Create(PDRIVER_OBJECT); static void DriverUnload(PDRIVER_OBJECT); static NTSTATUS DeviceControl(PDEVICE_OBJECT, PIRP); }; } #endif // !KMD_H易语言怎么调用

03-22

还要注意易语言的字符串处理与UNICODE_STRING的转换，可能需要将设备路径转换为Unicode字符串，或者使用特定的API函数。此外，驱动中的KMD_REQUEST结构体在易语言中需要正确对齐，避免内存访问错误。最后，总结...

内核级进程遍历

bcbobo21cn的专栏

01-22

560

内核级进程遍历；

进程结构体

qq_18811919的博客

03-17

5257

进程结构体EPROCESS 每个windows进程在0环都有对应的结构体:EPROCESS这个结构体包含了进程所有重要的信息。使用windbg查看:dt _EPROCESS EPROCESS与PEB是有区别的:EPROCESS在0环PEB在3环。 EPROCESS结构体属性(KPROCESS) +0x0 Pcb 是一个KPROCESS结构体 Windbg查看KPROCESS:dt _KPROCESS KPROCESS第一个属性: +0x0 Header DISPATCHER_HEARDER 只要是该DI

遍历_EPROCESS->SessionProcessLinks链表枚举进程

125096

06-19

781

#include #include UCHAR * PsGetProcessImageFileName(__in PEPROCESS Process); HANDLE PsGetProcessInheritedFromUniqueProcessId(__in PEPROCESS Process); VOID HelloDDKUnload(IN PDRIVER_OBJECT pDrive

通过进程ID得到进程名

weixin_34074740的博客

09-20

432

在内核中，通过进程ID，得到进程名称，有多种方法。我使用了两种方法，第一种是使用ZwOpeProcess得到句柄然后ObReferenceObjectByHandle函数得到PEPROCESS结构，然后 char *ProcessName = (char*)EProcess + 0x174; 第二种方法是得到PEPROCESS结构之后，使用PsGetProcess...

_EPROCESS结构简单了解！

创造神话,实现梦想!

08-13

9874

lkd> dt _EPROCESS nt!_EPROCESS +0x000 Pcb : _KPROCESS +0x06c ProcessLock : _EX_PUSH_LOCK +0x070 CreateTime

Win64 驱动内核编程-7.内核里操作进程

天使也掉毛

03-05

4830

在内核里操作进程在内核里操作进程，相信是很多对 WINDOWS 内核编程感兴趣的朋友第一个学习的知识点。但在这里，我要让大家失望了，在内核里操作进程没什么特别的，就标准方法而言，还是调用那几个和进程相关的 NATIVE API 而已（当然了，本文所说的进程操作，还包括对线程和 DLL 模块的操作）。本文包括 10 个部分：分别是：枚举进程、暂停进程、恢复进程、结束进程、枚举线程、暂停线

内核程序中进程的pid,handle,eprocess之间相互转换的方法

whatday的专栏

09-10

5856

在win32内核程序开发中，我们常常需要取得某进程的pid或句柄，或者需要检索进程的eprocess结构，很多API函数需要的参数也不同，所以掌握pidhandleeprocess相互转换的方法会大大提高我们的开发效率。以下就是我自己在实际开发中总结出来的转换方法，在此记录下来，以供需要的朋友参考。 1、pid->handle OBJECT_ATTRIBUTES Objec

根据Handle获取进程名的方法

坦然

08-13

2596

写ZwTerminateProcess hook的时候hook到ZwTerminateProcess的参数是HANDLE ProcessHandle和NTSTATUS ExitStatus。结构如下： NTSTATUS ZwTerminateProcess( IN HANDLE ProcessHandle, IN NTSTATUS ExitStatus

Ptr32_HANDLE_TABLE

07-22

### `Ptr32 _HANDLE_TABLE` 的含义及其在 Windows 内核结构体中的定义在 Windows 内核中，`Ptr32 _HANDLE_TABLE` 是一个指针类型，表示一个指向 `_HANDLE_TABLE` 结构体的 32 位指针。它通常出现在 64 位系统中...