c - WDK : get processId by name. 可执行文件

Question

我正在 Windows Filtering Platform 中开发驱动程序，我需要另一个进程的进程 ID 来执行我需要执行的操作。我只知道该进程的文件名(name.exe)。

在 win32 中，我可以使用函数 CreateToolhelp32Snapshot 来获取所有进程的列表，并且可以在那里搜索 PID。 (http://msdn.microsoft.com/en-us/library/ms684834(VS.85).aspx)

不幸的是，在内核模式下，这个东西不可用。有人知道如何通过内核空间仅知道二进制名称来获取 processID 吗？

Answer 1

根据时间的不同，您似乎可以使用您自己的 CreateProcessNotifyEx() 处理程序调用 PsSetCreateProcessNotifyRoutineEx()。然后，您的 CreateProcessNotifyEx() 将收到一个指向 PS_CREATE_NOTIFY_INFO 的指针。此结构中包含字段 ImageFileName 和位 FileOpenNameAvailable。

程序名称将位于ImageFileName 指向的Unicode 字符串中。如果FileOpenNameAvailable，则该字符串将包含二进制文件的完全限定路径。否则，预计只能找到模块名称，可能没有扩展名。