Занимаюсь разработкой собственного драйвера.
Как получить ID процесса, зная только его имя? Нужно именно на C, не C++
OS Windows 7, тип драйвера - внутриядерный.
Занимаюсь разработкой собственного драйвера.
Как получить ID процесса, зная только его имя? Нужно именно на C, не C++
OS Windows 7, тип драйвера - внутриядерный.
Windows Driver API не предоставляет ни способа прямого получения идентификатора процесса (PID) по его имени, ни даже возможности перечисления всех процессов в системе.
Поэтому нам придётся самостоятельно вести ассоциативный массив «Имя процесса — PID» и своевременно его обновлять.
Обновление производится с помощью PsSetCreateProcessNotifyRoutine
, позволяющего отслеживать создание и уничтожение процессов.
Ассоциативный же массив вы должны использовать свой. Неважно, будет ли он основан на связном списке, группировке по хэшам или чём-то другом, я просто введу некие функции MAP_ADD
и MAP_REMOVE
для добавления и удаления элементов соответственно.
Тогда получится примерно следующий код:
Регистрация перехвата (выполнять в DriverEntry
):
PsSetCreateProcessNotifyRoutine(NotifyRoutine, FALSE);
Разрегистрация перехвата (выполнять в DRIVER_OBJECT::DriverUnload
):
PsSetCreateProcessNotifyRoutine(NotifyRoutine, TRUE);
Обработка собственно перехвата:
static void NotifyRoutine(HANDLE ParentId, HANDLE ProcessId, BOOLEAN Create)
{
NTSTATUS Status;
// Получаем PID из описателя
PEPROCESS Process;
Status = ObReferenceObjectByHandle(
ProcessId,
PROCESS_QUERY_INFORMATION,
PsProcessType,
PreviousMode,
(PVOID*)&Process,
NULL
);
if(NT_SUCCESS(Status))
{
// Получаем указатель на имя процесса.
PUNICODE_STRING ProcessName;
Status = SeLocateProcessImageName(ProcessName, Process);
if(NT_SUCCESS(Status))
{
if(Create == TRUE) // Если создан новый процесс
MAP_ADD(ProcessName, ProcessId);
else // Если процесс уничтожен
MAP_REMOVE(ProcessName);
}
// Уменьшаем счётчик ссылок на процесс, иначе у пользователя образуется
// большое количество неубиваемых процессов.
ObDereferenceObject(Process);
}
}
Важное замечание: опыта в драйверописательстве не имею, всё вышесказанное получилось в результате изучения MSDN и исходных кодов ReactOS.
wininit
, корень иерархии пользовательских процессов, запускается после того, как отработали все Reinitialize
. Так что ни один пользовательский процесс упущен не будет; насчёт системных же (типа System
) не знаю.
– Arhad-the-dev
28 янв '17 в 8:25
CreateToolhelp32Snapshot
/Process32First
/Process32Next
, с помощью которой перебирают процессы в подсистеме Win32. Закончу — опубликую второй ответ.
– Arhad-the-dev
28 янв '17 в 8:30
Готовой функции для получения PID по имени процесса нет, но можно вручную пройтись по связному списку процессов.
HANDLE getPidByName(PCUNICODE_STRING name)
{
NTSTATUS Status;
// Отладочная метка для области памяти с копией списка процессов. Пусть будет "PrcL"
// Так как у нас LittleEndian, то первая буква находится в старшем байте.
#define MEM_TAG ('P' << 24 | 'r' << 16 | 'c' << 8 | 'L')
// Мы не можем заранее узнать размер буфера, поэтому будем подбирать
// экспериментальным путём, увеличивая при каждой неудаче на размер страницы (4КБ).
// Судя по тому, что так делает даже CreateToolhelp32Snapshot(), это нормальная
// практика.
PVOID ProcThrdInfo;
SIZE_T ProcThrdInfoSize = 0;
do
{
// Буферы размером больше PAGE_SIZE выделяются в отдельных страницах, поэтому
// фрагментация кучи нам не грозит.
ProcThrdInfoSize += PAGE_SIZE;
ProcThrdInfo = ExAllocatePoolWithTag(PagedPool, ProcThrdInfoSize, MEM_TAG);
if(ProcThrdInfo)
{
// Получаем копию списка процессов. Принимающий буфер расположен
// в пространстве ядра, поэтому вызываем Zw-версию функции, не выполняющую
// проверок указателей.
Status = ZwQuerySystemInformation(
SystemProcessInformation,
&ProcThrdInfo,
&ProcThrdInfoSize,
NULL
);
if(!NT_SUCCESS(Status))
ExFreePoolWithTag(ProcThrdInfo, MEM_TAG);
}
} while(ProcThrdInfo && Status == STATUS_INFO_LENGTH_MISMATCH);
if(ProcThrdInfo)
{
if(NT_SUCCESS(Status))
{
PSYSTEM_PROCESS_INFORMATION ProcessInfo
= (PSYSTEM_PROCESS_INFORMATION)ProcThrdInfo;
// Перебираем записи, пока не найдём ту, что с искомым именем
ULONG ProcOffset = 0;
HANDLE FoundHandle = 0;
do
{
ProcessInfo = (PSYSTEM_PROCESS_INFORMATION)
((ULONG_PTR)ProcessInfo + ProcOffset);
if(RtlCompareUnicodeString(ProcessInfo->ImageName, name, FALSE) == 0)
FoundHandle = ProcessInfo->UniqueProcessId;
ProcOffset = ProcessInfo->NextEntryOffset;
} while(FoundHandle == 0 && ProcOffset != 0)
ExFreePoolWithTag(ProcThrdInfo, MEM_TAG);
return FoundHandle;
}
else
{
// Непредвиденная ошибка у ZwQuerySystemInformation(). См. Status
// для получения подробной информации.
return 0;
}
else
{
// Не хватило памяти
return 0;
}
}
Если ProcessInfo->ImageName
недоступен (верно начиная с какой-то версии Windows), попробуйте заменить его на троицу PsLookupProcessByProcessId()
+ PsGetProcessImageFileName()
+ ObDereferenceObject()
.
ObReferenceObjectByHandle
, ведь в вышеприведённом коде её нет (по крайнем мере в явном виде).
– Arhad-the-dev
28 янв '17 в 18:13