通过进程id获取用户名

原创于 2022-12-24 19:19:00 发布

· 1.1k 阅读

1 ·

版权

文章标签：

#windows #驱动开发

windows inners 专栏收录该内容

40 篇文章

订阅专栏

博客内容讲述了如何通过进程ID获取对应的用户名，并与ProcessHacker工具进行对比，指出在实际结果中，如SYSTEM对应的用户名可能是HKS$。代码示例展示了使用NT_STATUS函数获取进程用户名的过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在一个样本中看到的：通过进程id获取对应的用户名，来确定需要注入的目标进程。通过ProcessHacker工具可以查看进程对应的用户名，如下图：

可以看到，User name这一栏里面，有NT AUTHORITY\SYSTEM,NT AUTHORITY\LOCAL SERVICE,HKS\1909等。不同的用户名拥有不同的权限。下面的代码获取的用户名与ProcessHacker的结果有一点不同。下面代码获取的是SYSTEM,LOCAL SERVICE,1909等，如下图：

实际结果中SYSTEM对应的是HKS$(HKS是设备名称，后面跟着'$‘，来表示SYSTEM);

其他的LOCAL SERVICE,1909是一样的。

代码如下：

NTSTATUS GetProcessUserName(HANDLE pid)
{
    NTSTATUS status = STATUS_SUCCESS;
    PEPROCESS TargetProcess = NULL;
    PACCESS_TOKEN ProcessToken = NULL;
    LUID AuthenticationId = { 0 };
    PSecurityUserData UserInfo = NULL;

    DbgPrint("pid:%d\n", pid);

    status = PsLookupProcessByProcessId((HANDLE)pid, &TargetProcess);
    if (NT_SUCCESS(status))
    {
        ProcessToken = PsReferencePrimaryToken(TargetProcess);
        if (ProcessToken)
        {
            status = SeQueryAuthenticationIdToken(ProcessToken, &AuthenticationId);



            if (NT_SUCCESS(status))
            {
                status = GetSecurityUserInfo(&AuthenticationId, UNDERSTANDS_LONG_NAMES, &UserInfo);

                if (NT_SUCCESS(status))
                {
                    DbgPrint("UserInfo->UserName:%wZ\n", &(UserInfo->UserName));

                    LsaFreeReturnBuffer(UserInfo);
                }
                else
                {
                    DbgPrint("GetSecurityUserInfo fails,status:0x%x\n", status);
                }
            }
            else
            {
                STATUS_ACCESS_DENIED;
                DbgPrint("SeQueryAuthenticationIdToken fails,status:0x%x\n", status);
            }
        }
    }
    else
    {
        DbgPrint("PsLookupProcessByProcessId fails,status:0x%x\n", status);
    }


    if (ProcessToken)
    {
        PsDereferencePrimaryToken(ProcessToken);
    }
    if (TargetProcess)
    {
        ObDereferenceObject(TargetProcess);
    }

    return status;
}