4.1 Windows驱动开发：内核中进程与句柄互转

在内核开发中，经常需要进行进程和句柄之间的互相转换。进程通常由一个唯一的进程标识符（PID）来标识，而句柄是指对内核对象的引用。在Windows内核中，EProcess结构表示一个进程，而HANDLE是一个句柄。

为了实现进程与句柄之间的转换，我们需要使用一些内核函数。对于进程PID和句柄的互相转换，可以使用函数如OpenProcess和GetProcessId。OpenProcess函数接受一个PID作为参数，并返回一个句柄。GetProcessId函数接受一个句柄作为参数，并返回该进程的PID。

对于进程PID和EProcess结构的互相转换，可以使用函数如PsGetProcessId和PsGetCurrentProcess。PsGetProcessId函数接受一个EProcess结构作为参数，并返回该进程的PID。PsGetCurrentProcess函数返回当前进程的EProcess结构。

最后，对于句柄和EProcess结构的互相转换，可以使用函数如ObReferenceObjectByHandle和PsGetProcessId。ObReferenceObjectByHandle函数接受一个句柄和一个对象类型作为参数，并返回对该对象的引用。PsGetProcessId函数接受一个EProcess结构作为参数，并返回该进程的PID。

掌握这些内核函数的使用，可以方便地实现进程与句柄之间的互相转换。在进行进程和线程的内核开发之前，了解这些转换功能是非常重要的。

4.1.1 进程PID与进程HANDLE转换

进程PID转化为HANDLE句柄，可通过ZwOpenProcess这个内核函数，传入PID传出进程HANDLE句柄，如果需要将HANDLE句柄转化为PID则可通过ZwQueryInformationProcess这个内核函数来实现，具体转换实现方法如下所示；

在内核开发中，经常需要进行进程PID和句柄HANDLE之间的互相转换。将进程PID转化为句柄HANDLE的方法是通过调用ZwOpenProcess内核函数，传入PID作为参数，函数返回对应进程的句柄HANDLE。具体实现方法是，定义一个OBJECT_ATTRIBUTES结构体和CLIENT_ID结构体，将进程PID赋值给CLIENT_ID结构体的UniqueProcess字段，调用ZwOpenProcess函数打开进程，如果函数执行成功，将返回进程句柄HANDLE，否则返回NULL。

将句柄HANDLE转化为进程PID的方法是通过调用ZwQueryInformationProcess内核函数，传入进程句柄和信息类别作为参数，函数返回有关指定进程的信息，包括进程PID。具体实现方法是，定义一个PROCESS_BASIC_INFORMATION结构体和一个NTSTATUS变量，调用ZwQueryInformationProcess函数查询进程基本信息，如果函数执行成功，将返回进程PID，否则返回0。

其中ZwQueryInformationProcess是一个未被导出的函数如需使用要通过MmGetSystemRoutineAddress动态获取到，该函数的原型定义如下：

NTSTATUS ZwQueryInformationProcess(HANDLE           ProcessHandle,PROCESSINFOCLASS ProcessInformationClass,PVOID            ProcessInformation,ULONG            ProcessInformationLength,PULONG           ReturnLength
);

函数可以接受一个进程句柄ProcessHandle、一个PROCESSINFOCLASS枚举类型的参数ProcessInformationClass、一个用于存储返回信息的缓冲区ProcessInformation、缓冲区大小ProcessInformationLength和一个指向ULONG类型变量的指针ReturnLength作为参数。

在调用该函数时，ProcessInformationClass参数指定要获取的进程信息的类型。例如，如果要获取进程的基本信息，则需要将该参数设置为ProcessBasicInformation；如果要获取进程的映像文件名，则需要将该参数设置为ProcessImageFileName。调用成功后，返回的信息存储在ProcessInformation缓冲区中。

在调用该函数时，如果ProcessInformation缓冲区的大小小于需要返回的信息大小，则该函数将返回STATUS_INFO_LENGTH_MISMATCH错误代码，并将所需信息的大小存储在ReturnLength指针指向的ULONG类型变量中。

ZwQueryInformationProcess函数的返回值为NTSTATUS类型，表示函数执行的结果状态。如果函数执行成功，则返回STATUS_SUCCESS，否则返回其他错误代码。

掌握这些转换方法可以方便地在内核开发中进行进程PID和句柄HANDLE之间的互相转换。

#include <ntifs.h>// 定义函数指针
typedef NTSTATUS(*PfnZwQueryInformationProcess)(__in HANDLE ProcessHandle,__in PROCESSINFOCLASS ProcessInformationClass,__out_bcount(ProcessInformationLength) PVOID ProcessInformation,__in ULONG ProcessInformationLength,__out_opt PULONG ReturnLength
);PfnZwQueryInformationProcess ZwQueryInformationProcess;// 传入PID传出HANDLE句柄
HANDLE PidToHandle(ULONG PID)
{HANDLE hProcessHandle;OBJECT_ATTRIBUTES obj;CLIENT_ID clientid;clientid.UniqueProcess = PID;clientid.UniqueThread = 0;// 属性初始化InitializeObjectAttributes(&obj, 0, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);NTSTATUS status = ZwOpenProcess(&hProcessHandle, PROCESS_ALL_ACCESS, &obj, &clientid);if (status == STATUS_SUCCESS){// DbgPrint("[*] 已打开 \n");ZwClose(&hProcessHandle);return hProcessHandle;}return 0;
}// HANDLE句柄转换为PID
ULONG HandleToPid(HANDLE handle)
{PROCESS_BASIC_INFORMATION ProcessBasicInfor;// 初始化字符串，并获取动态地址UNICODE_STRING UtrZwQueryInformationProcessName = RTL_CONSTANT_STRING(L"ZwQueryInformationProcess");ZwQueryInformationProcess = (PfnZwQueryInformationProcess)MmGetSystemRoutineAddress(&UtrZwQueryInformationProcessName);// 调用查询ZwQueryInformationProcess(handle,ProcessBasicInformation,(PVOID)&ProcessBasicInfor,sizeof(ProcessBasicInfor),NULL);// 返回进程PIDreturn ProcessBasicInfor.UniqueProcessId;
}VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("[-] 驱动卸载 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("Hello LyShark \n");// 将PID转换为HANDLEHANDLE ptr = PidToHandle(6932);DbgPrint("[*] PID  --> HANDLE = %p \n", ptr);// 句柄转为PIDULONG pid = HandleToPid(ptr);DbgPrint("[*] HANDLE  --> PID = %d \n", pid);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

编译并运行如上这段代码片段，将把进程PID转为HANDLE句柄，再通过句柄将其转为PID，输出效果图如下所示；

4.1.2 进程PID转换为EProcess结构

通过PsLookUpProcessByProcessId函数，该函数传入一个PID则可获取到该PID的EProcess结构体，具体转换实现方法如下所示；

本段代码展示了如何使用Windows内核API函数PsLookupProcessByProcessId将一个PID（Process ID）转换为对应的EProcess结构体，EProcess是Windows内核中描述进程的数据结构之一。

代码段中定义了一个名为PidToObject的函数，该函数的输入参数是一个PID，输出参数是对应的EProcess结构体。

在函数中，通过调用PsLookupProcessByProcessId函数来获取对应PID的EProcess结构体，如果获取成功，则调用ObDereferenceObject函数来减少EProcess对象的引用计数，并返回获取到的EProcess指针；否则返回0。

在DriverEntry函数中，调用了PidToObject函数将PID 6932转换为对应的EProcess结构体，并使用DbgPrint函数输出了转换结果。最后设置了驱动程序卸载函数为UnDriver，当驱动程序被卸载时，UnDriver函数会被调用。

#include <ntifs.h>
#include <windef.h>// 将Pid转换为Object or EProcess
PEPROCESS PidToObject(ULONG Pid)
{PEPROCESS pEprocess;NTSTATUS status = PsLookupProcessByProcessId((HANDLE)Pid, &pEprocess);if (status == STATUS_SUCCESS){ObDereferenceObject(pEprocess);return pEprocess;}return 0;
}VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("[-] 驱动卸载 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("Hello LyShark \n");// 将PID转换为PEPROCESSPEPROCESS ptr = PidToObject(6932);DbgPrint("[*] PID  --> PEPROCESS = %p \n", ptr);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

编译并运行如上这段代码片段，将把进程PID转为EProcess结构，输出效果图如下所示；

4.1.3 进程HANDLE与EPROCESS转换

将Handle转换为EProcess结构可使用内核函数ObReferenceObjectByHandle实现，反过来EProcess转换为Handle句柄可使用ObOpenObjectByPointer内核函数实现，具体转换实现方法如下所示；

首先，将Handle转换为EProcess结构体，可以使用ObReferenceObjectByHandle内核函数。该函数接受一个Handle参数，以及对应的对象类型（这里为EProcess），并返回对应对象的指针。此函数会对返回的对象增加引用计数，因此在使用完毕后，需要使用ObDereferenceObject将引用计数减少。

其次，将EProcess结构体转换为Handle句柄，可以使用ObOpenObjectByPointer内核函数。该函数接受一个指向对象的指针（这里为EProcess结构体的指针），以及所需的访问权限和对象类型，并返回对应的Handle句柄。此函数会将返回的句柄添加到当前进程的句柄表中，因此在使用完毕后，需要使用CloseHandle函数将句柄关闭，以避免资源泄漏。

综上所述，我们可以通过这两个内核函数实现Handle和EProcess之间的相互转换，转换代码如下所示；

#include <ntifs.h>
#include <windef.h>// 传入PID传出HANDLE句柄
HANDLE PidToHandle(ULONG PID)
{HANDLE hProcessHandle;OBJECT_ATTRIBUTES obj;CLIENT_ID clientid;clientid.UniqueProcess = PID;clientid.UniqueThread = 0;// 属性初始化InitializeObjectAttributes(&obj, 0, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);NTSTATUS status = ZwOpenProcess(&hProcessHandle, PROCESS_ALL_ACCESS, &obj, &clientid);if (status == STATUS_SUCCESS){// DbgPrint("[*] 已打开 \n");ZwClose(&hProcessHandle);return hProcessHandle;}return 0;
}// 将Handle转换为EProcess结构
PEPROCESS HandleToEprocess(HANDLE handle)
{PEPROCESS pEprocess;NTSTATUS status = ObReferenceObjectByHandle(handle, GENERIC_ALL, *PsProcessType, KernelMode, &pEprocess, NULL);if (status == STATUS_SUCCESS){return pEprocess;}return 0;
}// EProcess转换为Handle句柄
HANDLE EprocessToHandle(PEPROCESS eprocess)
{HANDLE hProcessHandle = (HANDLE)-1;NTSTATUS status = ObOpenObjectByPointer(eprocess,OBJ_KERNEL_HANDLE,0,0,*PsProcessType,KernelMode,&hProcessHandle);if (status == STATUS_SUCCESS){return hProcessHandle;}return 0;
}VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("[-] 驱动卸载 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("Hello LyShark \n");// 将Handle转换为EProcess结构PEPROCESS eprocess = HandleToEprocess(PidToHandle(6932));DbgPrint("[*] HANDLE --> EProcess = %p \n", eprocess);// 将EProcess结构转换为HandleHANDLE handle = EprocessToHandle(eprocess);DbgPrint("[*] EProcess --> HANDLE = %p \n", handle);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

编译并运行如上这段代码片段，将把进程HANDLE与EProcess结构互转，输出效果图如下所示；

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/197042.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

kubernetes 高可用集群

kubernetes 高可用集群

目录 一、haproxy负载均衡 二、pacemaker高可用 三、部署control-plane 四、部署worker node 实验环境 主机名 IP 角色 docker 192.168.67.10 harbor k8s1 192.168.67.11 control-plane k8s2 192.168.67.12 control-plane k8s3 192.168.67.13 control-plane k8s…
阅读更多...
vscode文件夹折叠问题

vscode文件夹折叠问题

今天发现一个vscode的文件夹显示的问题&#xff0c;首先是这样的&#xff0c;就是我的文件夹里又一个子文件夹&#xff0c;子文件夹里有一些文件&#xff0c;但是我发现无法折叠起这个子文件夹&#xff0c;总是显示全部的文件&#xff0c;这让我备份很难&#xff0c;具体参考 h…
阅读更多...
邀请报名｜11月24日阿里云原生 Serverless 技术实践营 深圳站

邀请报名｜11月24日阿里云原生 Serverless 技术实践营 深圳站

活动简介 “阿里云云原生 Serverless 技术实践营 ” 是一场以 Serverless 为主题的开发者活动&#xff0c;活动受众以关注 Serverless 技术的开发者、企业决策人、云原生领域创业者为主&#xff0c;活动形式为演讲、动手实操&#xff0c;让开发者通过一个下午的时间增进对 Ser…
阅读更多...
Vue3-watchEffect函数

Vue3-watchEffect函数

Vue3-watchEffect函数 功能&#xff1a;watchEffect 函数在一开始时就会执行一次&#xff0c;而当中的回调函数的属性发生变化&#xff0c;那么watchEffect 就会再执行一次&#xff0c;主要作用还是在于监视回调函数每次的变化。 // App.vue <template><h2>计数…
阅读更多...
【C++】【Opencv】cv::warpAffine()仿射变换函数详解，实现平移、缩放和旋转等功能

【C++】【Opencv】cv::warpAffine()仿射变换函数详解，实现平移、缩放和旋转等功能

仿射变换是一种二维变换&#xff0c;它可以将一个二维图形映射到另一个二维图形上&#xff0c;保持了图形的“形状”和“大小”不变&#xff0c;但可能会改变图形的方向和位置。仿射变换可以用一个线性变换矩阵来表示&#xff0c;该矩阵包含了六个参数&#xff0c;可以进行平移…
阅读更多...
获取虎牙直播源

获取虎牙直播源

为了今天得LOL总决赛 然后想着下午看看 但是网页看占用高 就想起来有个直播源 也不复杂看了大概一个小时 没啥问题 进入虎牙页面只有 直接F12 网络 然后 看这个长条 一直在获取 发送 那就选中这个区间 找到都是数字这一条 如果直接访问的话会一直下载 我这都取消了 然后 打开…
阅读更多...
常见面试题-MySQL的Explain执行计划

常见面试题-MySQL的Explain执行计划

了解 Explain 执行计划吗&#xff1f; 答&#xff1a; explain 语句可以帮助我们查看查询语句的具体执行计划。 explain 查出来的各列含义如下&#xff1a; id&#xff1a;在一个大的查询语句中&#xff0c;每个 select 关键字都对应一个唯一的 id select_type&#xff1a;…
阅读更多...
八股文-面向对象的理解

八股文-面向对象的理解

近年来&#xff0c;IT行业的环境相较以往显得有些严峻&#xff0c;因此一直以来&#xff0c;我都怀有一个愿望&#xff0c;希望能够创建一个分享面试经验的网站。由于个人有些懒惰&#xff0c;也较为喜欢玩乐&#xff0c;导致计划迟迟未能实现。然而&#xff0c;随着年底的临近…
阅读更多...
windows安装wsl2以及ubuntu

windows安装wsl2以及ubuntu

查看自己系统的版本 必须运行 Windows 10 版本 2004 及更高版本&#xff08;内部版本 19041 及更高版本&#xff09;或 Windows 11 才能使用以下命令 在设置&#xff0c;系统里面就能看到 开启windows功能 直接winQ搜 开启hyber-V、使用于Linux的Windows子系统、虚拟机平…
阅读更多...
让文字在盒子中水平居中与垂直居中

让文字在盒子中水平居中与垂直居中

简单方法&#xff1a; 1.先用text-align: center;将文字垂直居中。 2.再用line-height: Xpx;将元素的行高设置为与父元素同样的高度。&#xff08;这里的X代表父元素的高度&#xff09; 举例&#xff1a; 对于该网页的代码如下&#xff1a; <!DOCTYPE html> <html&…
阅读更多...
wpf devexpress绑定grid到总计和分组统计

wpf devexpress绑定grid到总计和分组统计

此主题描述了如何在gridcontrol中的视图模型和显示定义总计和分组统计 在视图模型中指定统计 1、创建 SummaryItemType 枚举你想要在GridControl中显示的统计类型&#xff1a; public enum SummaryItemType { Max, Count, None } 2、创建一个grid统计描述类 public class S…
阅读更多...
电子病历编辑器源码（Springboot+原生HTML）

电子病历编辑器源码（Springboot+原生HTML）

一、系统简介 本系统主要面向医院医生、护士&#xff0c;提供对住院病人的电子病历书写、保存、修改、打印等功能。本系统基于云端SaaS服务方式&#xff0c;通过浏览器方式访问和使用系统功能&#xff0c;提供电子病历在线制作、管理和使用的一体化电子病历解决方案&#xff0c…
阅读更多...
SDL2 播放音频(MP4)

SDL2 播放音频(MP4)

1.简介 这里引入FFmpeg库&#xff0c;获取音频流数据&#xff0c;然后通过FFmpeg将视频流解码成pcm原始数据&#xff0c;再将pcm数据送入到SDL库中实现音频播放。 2.FFmpeg的操作流程 注册API&#xff1a;av_register_all()构建输入AVFormatContext上下文&#xff1a;avform…
阅读更多...
Pytorch torch.dot、torch.mv、torch.mm、torch.norm的用法详解

Pytorch torch.dot、torch.mv、torch.mm、torch.norm的用法详解

torch.dot的用法&#xff1a; 使用numpy求点积&#xff0c;对于二维的且一个二维的维数为1 torch.mv的用法&#xff1a; torch.mm的用法 torch.norm 名词解释&#xff1a;L2范数也就是向量的模&#xff0c;L1范数就是各个元素的绝对值之和例如&#xff1a;
阅读更多...
报道 | 2023年12月-2024年2月国际运筹优化会议汇总

报道 | 2023年12月-2024年2月国际运筹优化会议汇总

2023年12月-2024年2月召开会议汇总&#xff1a; The 16th Annual International Conference on Combinatorial Optimization and Applications (COCOA 2023) Location: Virtual Important dates: Conference: December 11, 2023 (Start) - December 13, 2023 (End) Details…
阅读更多...
Java中如何通过路径表达式找值：XPath和JsonPath以及SpEL详解及对比

Java中如何通过路径表达式找值：XPath和JsonPath以及SpEL详解及对比

大家好&#xff0c;我是G探险者。 我们编程时&#xff0c;在前后端数据交互和传输过程中&#xff0c;往往需要对报文中的某个字段或者某个标签的值进行解析读取&#xff0c;报文通常是以json或者xml作为数据交换格式&#xff0c;而json和xml这两种格式的报文结构都是具备一定的…
阅读更多...
基于SSM+Vue的校园共享单车管理系统

基于SSM+Vue的校园共享单车管理系统

基于SSMVue的校园共享单车管理系统的设计与实现~ 开发语言&#xff1a;Java数据库&#xff1a;MySQL技术&#xff1a;SpringMyBatisSpringMVC工具&#xff1a;IDEA/Ecilpse、Navicat、Maven 系统展示 主页 登录界面 管理员界面 用户界面 摘要 随着城市交通的不断发展和人们出…
阅读更多...
cesium 重点区域大屏展示效果（加载行政区划）

cesium 重点区域大屏展示效果（加载行政区划）

cesium 重点区域大屏展示效果（配色不太好看，主要看思路和方法） 1、实现思路（文张最后有**源码 **） 1、第一步将cesium背景调成透明关掉光照大气等效果相关属性都在“viewer.scene”中 2、第二步添加背景图片此背景图片直接用html加css就可以完成 3、第三步添加蒙版效果也…
阅读更多...
Redis(哈希Hash和发布订阅模式)

Redis(哈希Hash和发布订阅模式)

哈希是一个字符类型字段和值的映射表。 在Redis中&#xff0c;哈希是一种数据结构&#xff0c;用于存储键值对的集合。哈希可以理解为一个键值对的集合&#xff0c;其中每个键都对应一个值。哈希在Redis中的作用主要有以下几点&#xff1a; 1. 存储对象&#xff1a;哈希可以用…
阅读更多...
大模型之十二十-中英双语开源大语言模型选型

大模型之十二十-中英双语开源大语言模型选型

从ChatGPT火爆出圈到现在纷纷开源的大语言模型&#xff0c;众多出入门的学习者以及跃跃欲试的公司不得不面临的是开源大语言模型的选型问题。 基于开源商业许可的开源大语言模型可以极大的节省成本和加速业务迭代。 当前&#xff08;2023年11月17日)开源的大语言模型如下&#…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023