Windows内核下PID、Handle和EPROCESS之间相互转换的方法

最新推荐文章于 2025-12-24 02:23:30 发布
原创 最新推荐文章于 2025-12-24 02:23:30 发布 · 349 阅读 · 0 GEO检测
标签
#windows #编程
编程 专栏收录该内容
445 篇文章 ¥29.90 ¥99.00
订阅专栏
本文介绍了在Windows内核编程中如何进行PID、Handle和EPROCESS结构之间的相互转换，包括从PID获取EPROCESS、从句柄获取EPROCESS以及从EPROCESS获取PID的方法，并提供了相应的源代码示例。

在Windows内核编程中，我们经常需要在进程和句柄之间进行转换，以及获取与进程相关联的EPROCESS结构。这些转换是使用内核模式编程技术实现的。在本文中，我将介绍如何在Windows内核中进行PID、Handle和EPROCESS之间的相互转换，并提供相应的源代码示例。

  1. 从PID获取EPROCESS结构

在Windows内核编程中，EPROCESS结构代表了一个进程的内部表示。要从PID获取与之关联的EPROCESS结构，我们可以使用PsLookupProcessByProcessId函数。下面是一个示例代码：

NTSTATUS GetEprocessFromPid(HANDLE pid, PEPROCESS* eprocess)
{
   
   
    NTSTATUS status;
    HANDLE processHandle;

    status
了解本专栏 订阅专栏 解锁全文
Windows内核下pid,handle,eprocess之间相互转换的方法
Think88666的博客
08-25 733
Windows内核下pid,handle,eprocess之间相互转换的方法
[Windows驱动开发] 进程的pid - handle - eprocess之间相互转换的方法
墨鱼菜鸡
08-05 483
在内核程序开发中，我们常常需要取得某进程的pid或句柄，或者需要检索进程的eprocess结构，很多API函数需要的参数也不同，所以掌握pid<->handle<->eprocess相互转换的方法会大大提高我们的开发效率。 以下就是我自己在实际开发中总结出来的转换方法，在此记录下来，以供需要的朋友参考。 1、pid->han...
通过暴力搜索PID遍历进程并获取进程信息
LYSM
06-23 3574
背景 通常我们在内核中使用 ZwQuerySystemInformation 函数来遍历进程模块并获取进程信息，这种是通过正常的进程遍历方式，所以，有很多 Rootkit 程序会 HOOK 这个 ZwQuerySystemInformation 函数，过滤指定进程，从而实现进程的隐藏。 本文实现的进程遍历和获取进程信息并不打算使用 ZwQuerySystemInformation 这种方式，而是直接暴力搜索进程的 PID，根据有效的 PID 获取相应进程的信息，从而实现进程的遍历。现在，我就来讲解具体的实现
驱动开发：内核操作进线程与模块
LYSHARK
10-21 7046
进程就是活动起来的程序，每一个进程在内核里，都有一个名为EPROCESS的结构记录它的详细信息，其中就包括进程名，PID，PPID，进程路径等，通常在应用层枚举进程只列出所有进程的编号即可，不过在内核层需要把它的 EPROCESS 地址给列举出来。
windows内核- 内核中进程与句柄互转（六）
rosykee的专栏
12-10 822
ObReferenceObjectByHandle函数接受一个句柄和一个对象类型作为参数，并返回对该对象的引用。在内核开发中，经常需要进行进程和句柄之间的互相转换。进程通常由一个唯一的进程标识符（PID）来标识，而句柄是指对内核对象的引用。通过 GetProcessId（HANDLE）返回句柄对应的进程PID。例程接受进程的进程 ID，并返回指向进程的 EPROCESS 结构的引用指针。函数接受一个EProcess结构作为参数，并返回该进程的PID。结构表示一个进程，而HANDLE是一个句柄。
PID,EPROCESS,HANDLE转换【转】
weixin_30571465的博客
03-26 251
1. 通过 pid 获取目标进程的 EPROCESS (PsLookupProcessByProcessId)。如果当前进程不是目标进程，那么我们切换当前进程，方法当然是通过 KeAttachProcess 或者 KeStackAttachProcess 啦。接下来我们就可以从 _PEB结构中随心所欲的获取目标路径，命令行，啥滴东西了。最后别忘了 Detach(如果你没有 Attach 那么这一...
4.1 Windows驱动开发：内核中进程与句柄互转
LYSHARK
11-17 5665
在内核开发中，经常需要进行进程和句柄之间的互相转换。进程通常由一个唯一的进程标识符（PID）来标识，而句柄是指对内核对象的引用。在Windows内核中，EProcess结构表示一个进程，而HANDLE是一个句柄。为了实现进程与句柄之间的转换，我们需要使用一些内核函数。对于进程PID和句柄的互相转换，可以使用函数如和。OpenProcess函数接受一个PID作为参数，并返回一个句柄。GetProcessId函数接受一个句柄作为参数，并返回该进程的PID。对于进程PID和EProcess。
驱动开发：内核中进程与句柄互转
热门推荐
LYSHARK
06-23 1万+
在内核开发中，经常需要进行进程和句柄之间的互相转换。进程通常由一个唯一的进程标识符（PID）来标识，而句柄是指对内核对象的引用。在Windows内核中，`EProcess`结构表示一个进程，而HANDLE是一个句柄。为了实现进程与句柄之间的转换，我们需要使用一些内核函数。对于进程PID和句柄的互相转换，可以使用函数如`OpenProcess`和`GetProcessId`。OpenProcess函数接受一个PID作为参数，并返回一个句柄。GetProcessId函数接受一个句柄作为参数，并返回该进程的P
详解PID到进程名的转换及伪装
05-15 1992
作者:天杀 很多时候我们都要用到从PID到进程名的转换。先总结一下相关的一些常用函数。GetCurrentProcessIdGetWindowProcessID这是两个最常用的获得PID的函数。再看看如何通过PID获得进程名先用OpenProcess把进程打开，然后一般用下面的一些方法来获得1.用快照函数CreateToolhelp32Snapshot，然后枚举进程，比较        Creat
常用工具函数记录---(Kernel) PID-HANDLE-EPROCESS-PATH 转换
wangmin1944的专栏
06-19 257
在内核中根据进程的pid、句柄、eprocess等进行相互获取转换
PsGetProcessImageFileName 深度解析：Windows内核中的进程名探测器
fearhacker的专栏
09-24 852
本文介绍了Windows内核函数PsGetProcessImageFileName的功能与实现原理，该函数用于获取进程可执行文件的短名称（最大15字符）和设备路径。文章详细解析了EPROCESS结构体中ImageFileName字段的存储位置，并提供了进程监控、驱动调试等实战应用示例。同时指出了该函数在名称截断和设备路径转换方面的局限性，并给出了相应解决方案。通过对比其他相关函数，分析了不同场景下的适用性。最后强调了本文仅用于教育目的，提醒读者遵守法律法规。
[笔记] Windows内核安全编程《二》基础知识
二次元怪兽的博客
08-10 1268
本文简要介绍了Linux的起源与发展，并重点讲解了Shell的概念及其在命令行中的作用。文章还提供了相关参考资料，包括Shell定义和CentOS7快捷键操作说明。文末附有作者联系方式及个人主页链接，包括微信、QQ、CSDN、GitHub等平台。
ReactOS进程与线程管理：Windows进程模型的完整实现
gitblog_00171的博客
09-04 662
ReactOS作为一个开源的Windows兼容操作系统，其进程与线程管理子系统完整实现了Windows NT内核的设计理念。本文将深入探讨ReactOS如何精确复现Windows的进程线程模型，从数据结构设计到调度机制，为开发者提供深入理解Windows内核实现的技术参考。 ### Windows进程模型的核心特征 Windows NT内核采用基于对象的进程线程模型，具有以下核心特征： - ...
pid->handle
04-04 227
1、pid->handleOBJECT_ATTRIBUTES ObjectAttributes;CLIENT_ID clientid;InitializeObjectAttributes(&ObjectAttributes, 0 ,OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);clientid.UniqueProcess = (HANDLE)pid;clientid.UniqueThread=0;ZwOpenProcess(&handle, PROCESS_
17.过保护读内存（通过内核（驱动）apc的方式附加应用程序）-Windows驱动
最新发布
计算机王的博客
12-24 1043
驱动 内核 过保护 游戏逆向 游戏安全 游戏攻防 c++ 反游戏外挂 保姆级攻略 Windows 汇编 x64游戏
得到进程路径方法之汇总，需要的直接cp吧
关注互联网安全的小虾米一枚
06-10 4684
//依据EPROCESS得到进程全路径 extern VOID GetFullPathByEprocess( ULONG eprocess,PCHAR ProcessImageName ); //得到当前调用函数的进程信息 extern VOID GetCurrentProcess(PULONG pid, PCHAR name, PCHAR path); //路径解析出子进程名 extern VO
私有句柄表（内核对象，并非用户对象），全局句柄表
寻梦&之璐
02-15 5857
私有句柄表 1.什么是句柄（内核对象） 当一个进程创建或者打开一个内核对象时，将获得一个句柄，通过这个句柄可以访问内核对象 （注意：这里所说的句柄往往对应一个内核对象，调用窗口相关的函数时，也会得到所谓的句柄，但是那种句柄和这里所说的句柄是两回事，这里所说的句柄一定对应一个内核对象，而且这个内核对象其实也就是一个结构体，在0环才能够进行读写的。并非普通窗口，笔刷，字体等对象的句柄，这种对象我们通常称为用户对象，并非内核对象） 如: HANDLE g_hMutex=::CreateMutex(NULL，FAL
读第三方程序的变量的原理
二分掌柜的
12-13 813
flyfish
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值