在内核中，通过进程ID，得到进程名称，有多种方法。

我使用了两种方法，第一种是使用ZwOpeProcess得到句柄

然后ObReferenceObjectByHandle函数得到PEPROCESS结构，然后

char *ProcessName = (char*)EProcess + 0x174;

第二种方法是得到PEPROCESS结构之后，使用PsGetProcessImageFileName函数得到进程名。

 

具体代码如下：

[cpp]
  1. #include<ntddk.h>  
  2. #include<wdm.h>  
  3.   
  4. UCHAR* PsGetProcessImageFileName(PEPROCESS Process);  
  5.   
  6. NTSTATUS Unload(IN PDRIVER_OBJECT  DriverObject)  
  7. {  
  8.     DbgPrint("驱动已经卸载/n");     
  9. }   
  10.   
  11. void GetProcessName(ULONG dwPid)  
  12. {  
  13.     HANDLE ProcessHandle;  
  14.     NTSTATUS status;  
  15.     OBJECT_ATTRIBUTES  ObjectAttributes;  
  16.     CLIENT_ID myCid;  
  17.     PEPROCESS EProcess;  
  18.   
  19.     InitializeObjectAttributes(&ObjectAttributes,0,0,0,0);   
  20.   
  21.     myCid.UniqueProcess = (HANDLE)dwPid;  
  22.     myCid.UniqueThread = 0;  
  23.   
  24.     //打开进程，获取句柄  
  25.     status = ZwOpenProcess (&ProcessHandle,PROCESS_ALL_ACCESS,&ObjectAttributes,&myCid);  
  26.     if (!NT_SUCCESS(status))  
  27.     {  
  28.         DbgPrint("打开进程出错/n");  
  29.         return;  
  30.     }  
  31.       
  32.     //得到EPROCESS，结构中取进程名  
  33.     status = ObReferenceObjectByHandle(ProcessHandle,FILE_READ_DATA,0,KernelMode,&EProcess, 0);  
  34.     if (status == STATUS_SUCCESS)  
  35.     {  
  36.         char *ProcessName = (char*)EProcess + 0x174;  
  37.         char *PsName = PsGetProcessImageFileName(EProcess);  
  38.   
  39.         DbgPrint("ProcessName is %s/n",ProcessName);  
  40.         DbgPrint("PsName is %s/n",PsName);  
  41.   
  42.         ZwClose(ProcessHandle);  
  43.     }  
  44.     else  
  45.     {  
  46.         DbgPrint("Get ProcessName error");  
  47.     }  
  48. }  
  49.   
  50. NTSTATUS   
  51.   DriverEntry(  
  52.     IN PDRIVER_OBJECT  DriverObject,  
  53.     IN PUNICODE_STRING  RegistryPath  
  54.     )  
  55. {  
  56.     DbgPrint("驱动已经加载了/n");  
  57.     GetProcessName(2044);  
  58.     DriverObject->DriverUnload = Unload;   
  59.     return STATUS_SUCCESS;  
  60. }