windows - 将 ProcessID 转换为进程句柄

Question

我正在尝试为监控进程编写基本驱动程序并获取进程路径。
我创建 PsSetCreateProcessNotifyRoutine 并使用 ZwQueryInformationProcess
检索进程信息但是在我的 ProcessCallback 函数中，当我尝试使用 NtCurrentProcess 获取当前进程 HANDLE 时，它会给我运行另一个进程的当前进程。

例如:

i try to run myProgram.exe in c:\,when i go to C:\ using windows explorer and run myProgram.exe my driver give me explorer.exe path because myProgram.exe run inside explorer.exe

我的 ProcessCallback header 中有 processID

void ProcessCallback(
    IN HANDLE  hParentId, 
    IN HANDLE  hProcessId, 
    IN BOOLEAN bCreate
    )  

.我可以将它转换为进程句柄吗？

Answer 1

感谢大家的宝贵意见最后我用下面的代码解决了我的问题

HANDLE proc = NULL;
OBJECT_ATTRIBUTES obj_attr;
CLIENT_ID cid;

cid.UniqueProcess= hProcessId; //PsGetCurrentProcessId();
cid.UniqueThread= NULL ; //(HANDLE)0;
InitializeObjectAttributes(&obj_attr,NULL, 0, NULL, NULL);
ZwOpenProcess(&proc, PROCESS_ALL_ACCESS, &obj_attr, &cid);