windows 驱动 内核 0环 通过PID 获取进程完整路径

admin

1. #include<ntifs.h>
   
2. 
   
3. NTSTATUS GetDosPathByProcessId(IN ULONG pid, OUT PANSI_STRING pAnsiNtPath);
   
4. 
   
5. typedef NTSTATUS(*PfnZwQueryInformationProcess) (
   
6.         __in HANDLE ProcessHandle,
   
7.         __in PROCESSINFOCLASS ProcessInformationClass,
   
8.         __out_bcount(ProcessInformationLength) PVOID ProcessInformation,
   
9.         __in ULONG ProcessInformationLength,
   
10.         __out_opt PULONG ReturnLength
    
11.         );
    
12. 
    
13. PfnZwQueryInformationProcess ZwQueryInformationProcess;
    
14. 
    
15. //初始化未公开的导出函数
    
16. NTSTATUS InitGloableFunction()
    
17. {
    
18.         UNICODE_STRING UtrZwQueryInformationProcessName =
    
19.                 RTL_CONSTANT_STRING(L"ZwQueryInformationProcess");
    
20.         ZwQueryInformationProcess =
    
21.                 (PfnZwQueryInformationProcess)MmGetSystemRoutineAddress(&UtrZwQueryInformationProcessName);
    
22.         return STATUS_SUCCESS;
    
23. }
    
24. 
    
25. NTSTATUS GetDosPathByProcessId(IN ULONG pid, OUT PANSI_STRING pAnsiNtPath)
    
26. {
    
27.         /*
    
28.         1.根据PID获取进程句柄
    
29.         2.使用ZwQueryInformationProcess 传入HANDLE 使用27号功能获取路径
    
30.         */
    
31.         HANDLE hProcess = 0;
    
32.         CLIENT_ID cid;
    
33.         OBJECT_ATTRIBUTES obj;
    
34.         NTSTATUS ntStatus;
    
35.         ULONG RetLength = 0;
    
36.         PVOID pBuffer = NULL;
    
37.         HANDLE hFile;
    
38.         IO_STATUS_BLOCK iostu;
    
39.         PVOID FileObject = NULL;
    
40.         PFILE_OBJECT pMyFileObject = NULL;
    
41.         UNICODE_STRING DosName;
    
42. 
    
43.         UNICODE_STRING FunllPath;
    
44. 
    
45.         if (ZwQueryInformationProcess == NULL)
    
46.                 return STATUS_UNSUCCESSFUL;
    
47. 
    
48.         cid.UniqueProcess = (HANDLE)pid;
    
49.         cid.UniqueThread = 0;
    
50.         InitializeObjectAttributes(&obj, 0, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);
    
51.         ntStatus = ZwOpenProcess(&hProcess, PROCESS_ALL_ACCESS, &obj, &cid);
    
52.         if (!NT_SUCCESS(ntStatus))
    
53.                 return STATUS_UNSUCCESSFUL;
    
54.         //使用27 号功能遍历
    
55. 
    
56.         ntStatus = ZwQueryInformationProcess(hProcess, ProcessImageFileName, NULL, 0, &RetLength);
    
57.         if (STATUS_INFO_LENGTH_MISMATCH != ntStatus)
    
58.                 return STATUS_UNSUCCESSFUL;
    
59. 
    
60.         //申请内存继续获取.
    
61.         pBuffer = ExAllocatePoolWithTag(PagedPool, RetLength, 'niBI');
    
62.         if (NULL == pBuffer)
    
63.                 return STATUS_UNSUCCESSFUL;
    
64.         //重新调用获取.
    
65. 
    
66.         ntStatus = ZwQueryInformationProcess(hProcess, ProcessImageFileName, pBuffer, RetLength, &RetLength);
    
67.         if (!NT_SUCCESS(ntStatus))
    
68.         {
    
69.                 if (NULL != pBuffer)
    
70.                 {
    
71.                         ExFreePoolWithTag(pBuffer, 'niBI');
    
72.                 }
    
73.                 return STATUS_UNSUCCESSFUL;
    
74.         }
    
75. 
    
76.         //开始转化路径
    
77.         InitializeObjectAttributes(&obj, pBuffer, OBJ_KERNEL_HANDLE, 0, 0);
    
78.         ntStatus = ZwOpenFile(
    
79.                 &hFile,
    
80.                 GENERIC_READ,
    
81.                 &obj,
    
82.                 &iostu,
    
83.                 FILE_SHARE_READ | FILE_SHARE_WRITE,
    
84.                 0);
    
85.         if (!NT_SUCCESS(ntStatus))
    
86.         {
    
87.                 if (NULL != pBuffer)
    
88.                 {
    
89.                         ExFreePoolWithTag(pBuffer, 'niBI');
    
90.                 }
    
91.                 ZwClose(hFile);
    
92.                 return STATUS_UNSUCCESSFUL;
    
93.         }
    
94. 
    
95.         //获得文件对象
    
96.         ntStatus = ObReferenceObjectByHandle(
    
97.                 hFile,
    
98.                 GENERIC_ALL,
    
99.                 *IoFileObjectType,
    
100.                 KernelMode,
     
101.                 &FileObject,
     
102.                 NULL);
     
103. 
     
104.         if (!NT_SUCCESS(ntStatus))
     
105.         {
     
106.                 if (NULL != pBuffer)
     
107.                 {
     
108.                         ExFreePoolWithTag(pBuffer, 'niBI');
     
109.                 }
     
110. 
     
111.                 if(FileObject)                ntStatus = (NTSTATUS) ObDereferenceObject(FileObject);
     
112. 
     
113.                 ZwClose(hFile);
     
114.                 return STATUS_UNSUCCESSFUL;
     
115.         }
     
116. 
     
117.         pMyFileObject = (PFILE_OBJECT)FileObject;
     
118. 
     
119.         if (NULL == pMyFileObject)
     
120.         {
     
121.                 if (NULL != pBuffer)
     
122.                 {
     
123.                         ExFreePoolWithTag(pBuffer, 'niBI');
     
124.                 }
     
125.                 ntStatus = (NTSTATUS)ObDereferenceObject(FileObject);
     
126.                 ZwClose(hFile);
     
127.                 return STATUS_UNSUCCESSFUL;
     
128. 
     
129.         }
     
130.         //通过 RtlVolumeDeviceToDosName 获取Dos路径 也即是C: D: 等盘符
     
131.         RtlVolumeDeviceToDosName(pMyFileObject->DeviceObject, &DosName);
     
132. 
     
133.         //获得路径直接直接拼接即可.
     
134. 
     
135.         FunllPath.MaximumLength = pMyFileObject->FileName.MaximumLength + DosName.MaximumLength;
     
136.         FunllPath.Length = pMyFileObject->FileName.Length + DosName.Length;
     
137.         FunllPath.Buffer = ExAllocatePoolWithTag(NonPagedPool, FunllPath.MaximumLength, 0);
     
138. 
     
139.         //拼接路径
     
140.         RtlCopyUnicodeString(&FunllPath, &DosName);//得到C:
     
141.         RtlAppendUnicodeStringToString(&FunllPath, &pMyFileObject->FileName);//得到C:\\xxx路径,转为Asii
     
142.         RtlUnicodeStringToAnsiString(pAnsiNtPath, &FunllPath, TRUE); //RtlFreeAnsiString  要释放空间.
     
143. 
     
144.         if(FunllPath.Buffer)
     
145.         ExFreePool(FunllPath.Buffer); //因为传出自动为其分配了内存所以这个进行谁放
     
146. 
     
147.         if (NULL != pBuffer)
     
148.         {
     
149.                 ExFreePoolWithTag(pBuffer, 'niBI');
     
150.         }
     
151. 
     
152.         ntStatus = (NTSTATUS) ObDereferenceObject(FileObject);
     
153.         ZwClose(hFile);
     
154.         return STATUS_SUCCESS;
     
155. }
     
156. 
     

复制代码