나의 프로그래밍 공부 공간

1. DriverEntry에서 이름까지의 거리게산을 위해 다음 함수를 호출합니다.

VOID GetProcessNameOffset( void ) {

    PEPROCESS curproc;
    int i;

 curproc = PsGetCurrentProcess();
    for( i = 0; i < 3*PAGE_SIZE; i++ )
 {
        if( !strncmp( "System", (PCHAR)curproc + i, strlen("System") ))
  {
            gProcessNameOffset = i;
  }
    }STATUS_SUCCESS;
}

2.

NTKERNELAPI
NTSTATUS
PsLookupProcessByProcessId (
    IN HANDLE ProcessId,
    OUT PEPROCESS *Process
    );

을 이용해서

PEPROCESS EPROC;
PsLookupProcessByProcessId(넘어온PID,&EPROC);

를 해주면 해당 PID의 EPROCESS를 알 수 있고,

3.
int GetProcessName( PEPROCESS EPROC,PCHAR theName )
{
    PEPROCESS       curproc;
    char            *nameptr;

    if( gProcessNameOffset )
 {
        curproc = EPROC;
        nameptr   = (PCHAR) curproc + gProcessNameOffset;
        strncpy( theName, nameptr, NT_PROCNAMELEN );
        theName[NT_PROCNAMELEN] = 0; /* NULL at end */
  return TRUE;
    }
 return FALSE;
}