驱动开发笔记

WIndows驱动开发通过全局句柄表遍历进程

PspCidTable全局变量

//枚举进程
NTSTATUS EnumProcess()
{
ULONG i=0;
PEPROCESS process;
NTSTATUS status=0;
for (i=0;i<60000;i+=4)
{
//进程ID 进程的EPROCESS
status=PsLookupProcessByProcessId((HANDLE)i,&process);
if (NT_SUCCESS(status))
{
DbgPrint(“进程映像名：%s\t进程ID:%d\tEPROCESS：%x\t\n”,(UCHAR*)process+0x2e0,i,process);
}
}
return STATUS_SUCCESS;
}