在内核开发中,经常需要进行进程和句柄之间的互相转换。进程通常由一个唯一的进程标识符(PID)来标识,而句柄是指对内核对象的引用。在Windows内核中,EProcess
结构表示一个进程,而HANDLE是一个句柄。
为了实现进程与句柄之间的转换,我们需要使用一些内核函数。对于进程PID和句柄的互相转换,可以使用函数如OpenProcess
和GetProcessId
。OpenProcess函数接受一个PID作为参数,并返回一个句柄。GetProcessId函数接受一个句柄作为参数,并返回该进程的PID。
对于进程PID和EProcess
结构的互相转换,可以使用函数如PsGetProcessId
和PsGetCurrentProcess
。PsGetProcessId函数接受一个EProcess
结构作为参数,并返回该进程的PID。PsGetCurrentProcess
函数返回当前进程的EProcess
结构。
最后,对于句柄和EProcess
结构的互相转换,可以使用函数如ObReferenceObjectByHandle和PsGetProcessId
。ObReferenceObjectByHandle函数接受一个句柄和一个对象类型作为参数,并返回对该对象的引用。PsGetProcessId
函数接受一个EProcess结构作为参数,并返回该进程的PID。
掌握这些内核函数的使用,可以方便地实现进程与句柄之间的互相转换。在进行进程和线程的内核开发之前,了解这些转换功能是非常重要的。
进程PID与进程HANDLE之间的互相转换: 进程PID
转化为HANDLE
句柄,可通过ZwOpenProcess
这个内核函数,传入PID
传出进程HANDLE
句柄,如果需要将HANDLE
句柄转化为PID
则可通过ZwQueryInformationProcess
这个内核函数来实现,具体转换实现方法如下所示;
在内核开发中,经常需要进行进程PID
和句柄HANDLE
之间的互相转换。将进程PID
转化为句柄HANDLE
的方法是通过调用ZwOpenProcess
内核函数,传入PID作为参数,函数返回对应进程的句柄HANDLE。具体实现方法是,定义一个OBJECT_ATTRIBUTES
结构体和CLIENT_ID
结构体,将进程PID赋值给CLIENT_ID
结构体的UniqueProcess
字段,调用ZwOpenProcess
函数打开进程,如果函数执行成功,将返回进程句柄HANDLE,否则返回NULL。
将句柄HANDLE
转化为进程PID
的方法是通过调用ZwQueryInformationProcess
内核函数,传入进程句柄和信息类别作为参数,函数返回有关指定进程的信息,包括进程PID。具体实现方法是,定义一个PROCESS_BASIC_INFORMATION
结构体和一个NTSTATUS
变量,调用ZwQueryInformationProcess
函数查询进程基本信息,如果函数执行成功,将返回进程PID,否则返回0。
其中ZwQueryInformationProcess
是一个未被导出的函数如需使用要通过MmGetSystemRoutineAddress
动态获取到,该函数的原型定义如下:
NTSTATUS ZwQueryInformationProcess(
HANDLE ProcessHandle,
PROCESSINFOCLASS ProcessInformationClass,
PVOID ProcessInformation,
ULONG ProcessInformationLength,
PULONG ReturnLength
);
函数可以接受一个进程句柄ProcessHandle
、一个PROCESSINFOCLASS
枚举类型的参数ProcessInformationClass
、一个用于存储返回信息的缓冲区ProcessInformation
、缓冲区大小ProcessInformationLength
和一个指向ULONG类型变量的指针ReturnLength
作为参数。
在调用该函数时,ProcessInformationClass
参数指定要获取的进程信息的类型。例如,如果要获取进程的基本信息,则需要将该参数设置为ProcessBasicInformation
;如果要获取进程的映像文件名,则需要将该参数设置为ProcessImageFileName
。调用成功后,返回的信息存储在ProcessInformation
缓冲区中。
在调用该函数时,如果ProcessInformation
缓冲区的大小小于需要返回的信息大小,则该函数将返回STATUS_INFO_LENGTH_MISMATCH
错误代码,并将所需信息的大小存储在ReturnLength
指针指向的ULONG类型变量中。
ZwQueryInformationProcess函数的返回值为NTSTATUS
类型,表示函数执行的结果状态。如果函数执行成功,则返回STATUS_SUCCESS
,否则返回其他错误代码。
掌握这些转换方法可以方便地在内核开发中进行进程PID和句柄HANDLE之间的互相转换。
#include <ntifs.h>
// 定义函数指针
typedef NTSTATUS(*PfnZwQueryInformationProcess)(
__in HANDLE ProcessHandle,
__in PROCESSINFOCLASS ProcessInformationClass,
__out_bcount(ProcessInformationLength) PVOID ProcessInformation,
__in ULONG ProcessInformationLength,
__out_opt PULONG ReturnLength
);
PfnZwQueryInformationProcess ZwQueryInformationProcess;
// 传入PID传出HANDLE句柄
HANDLE PidToHandle(ULONG PID)
{
HANDLE hProcessHandle;
OBJECT_ATTRIBUTES obj;
CLIENT_ID clientid;
clientid.UniqueProcess = PID;
clientid.UniqueThread = 0;
// 属性初始化
InitializeObjectAttributes(&obj, 0, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);
NTSTATUS status = ZwOpenProcess(&hProcessHandle, PROCESS_ALL_ACCESS, &obj, &clientid);
if (status == STATUS_SUCCESS)
{
// DbgPrint("[*] 已打开 \n");
ZwClose(&hProcessHandle);
return hProcessHandle;
}
return 0;
}
// HANDLE句柄转换为PID
ULONG Handl