Windows驱动开发实战：如何安全获取当前进程名（附完整代码示例）

Windows驱动开发实战安全获取当前进程名的深度解析与代码实现在Windows内核开发领域获取当前进程名是一个看似简单却暗藏玄机的操作。对于安全软件、系统监控工具和反作弊系统的开发者而言这不仅是一个基础功能更是构建更复杂功能的基石。本文将深入探讨多种内核级获取进程名的方法分析各自的优缺点并提供经过生产环境验证的完整代码解决方案。1. Windows内核中的进程标识基础在深入代码实现之前我们需要理解Windows内核中进程表示的核心数据结构。每个Windows进程在内核中都由一个EPROCESS结构表示这个不透明的结构包含了进程的所有关键信息。关键概念解析EPROCESS: 内核中表示进程的核心数据结构包含进程属性、线程列表、内存信息等PEPROCESS: 指向EPROCESS结构的指针PsGetCurrentProcess(): 获取当前执行线程所属进程的EPROCESS指针ProcessId: 每个进程唯一的数字标识符PIDWindows内核提供了几种不同的方法来获取进程名每种方法都有其特定的使用场景和注意事项。我们需要特别关注的是这些方法的稳定性和跨版本兼容性。注意直接从EPROCESS结构偏移获取进程名是危险的做法因为结构布局可能随Windows版本变化而改变。微软官方推荐的API才是长期稳定的选择。2. 使用PsGetProcessImageFileName API微软官方提供的PsGetProcessImageFileName是最稳定可靠的获取进程名的方法。这个内核API从Windows 2000时代就存在保持了极好的向后兼容性。2.1 基本用法实现#include ntddk.h NTKERNELAPI UCHAR* PsGetProcessImageFileName(__in PEPROCESS Process); VOID GetCurrentProcessName() { PEPROCESS currentProcess PsGetCurrentProcess(); UCHAR* processName PsGetProcessImageFileName(currentProcess); DbgPrint(当前进程名: %s\n, processName); }2.2 完整错误处理版本在实际驱动开发中我们必须考虑所有可能的错误情况。下面是带有完整错误处理的实现NTSTATUS GetCurrentProcessNameSafe(PUNICODE_STRING ProcessName) { PEPROCESS currentProcess NULL; UCHAR* rawName NULL; NTSTATUS status STATUS_SUCCESS; // 验证输出缓冲区 if (ProcessName NULL) { return STATUS_INVALID_PARAMETER; } currentProcess PsGetCurrentProcess(); if (currentProcess NULL) { return STATUS_UNSUCCESSFUL; } rawName PsGetProcessImageFileName(currentProcess); if (rawName NULL) { return STATUS_NOT_FOUND; } // 转换ANSI名称到UNICODE ANSI_STRING ansiName; RtlInitAnsiString(ansiName, rawName); status RtlAnsiStringToUnicodeString(ProcessName, ansiName, TRUE); if (!NT_SUCCESS(status)) { DbgPrint(名称转换失败: 0x%X\n, status); return status; } return STATUS_SUCCESS; }2.3 方法优缺点分析优势官方支持稳定性最高性能极佳直接访问内核数据结构跨Windows版本兼容性好局限性返回的名称不带路径信息名称被截断为15个字符Windows设计限制返回的是ANSI字符串而非UNICODE3. 通过PEB获取完整进程路径对于需要完整路径的场景我们可以通过进程的PEB(Process Environment Block)来获取更详细的信息。这种方法适用于需要验证镜像完整性的安全场景。3.1 实现代码NTSTATUS GetProcessFullPath(PEPROCESS Process, PUNICODE_STRING FullPath) { NTSTATUS status STATUS_SUCCESS; KAPC_STATE apcState; PEB* peb NULL; BOOLEAN attached FALSE; if (Process NULL || FullPath NULL) { return STATUS_INVALID_PARAMETER; } __try { // 附加到目标进程上下文 KeStackAttachProcess(Process, apcState); attached TRUE; // 获取PEB地址 peb PsGetProcessPeb(Process); if (peb NULL || peb-ProcessParameters NULL) { status STATUS_NOT_FOUND; __leave; } // 复制完整路径 status RtlDuplicateUnicodeString( RTL_DUPLICATE_UNICODE_STRING_ALLOCATE_NULL_TERMINATED, peb-ProcessParameters-ImagePathName, FullPath); if (!NT_SUCCESS(status)) { DbgPrint(路径复制失败: 0x%X\n, status); __leave; } } __except(EXCEPTION_EXECUTE_HANDLER) { status GetExceptionCode(); DbgPrint(异常发生: 0x%X\n, status); } // 确保脱离进程上下文 if (attached) { KeUnstackDetachProcess(apcState); } return status; }3.2 关键注意事项内存安全性访问用户态PEB时必须使用try/except块进程附加必须正确附加和分离目标进程上下文字符串管理调用者负责释放返回的UNICODE_STRING缓冲区警告此方法在早期Windows版本(如XP)上可能需要特殊处理因为PEB结构在不同版本间有差异。4. 进程名获取的进阶技巧4.1 进程名缓存优化在高频调用的场景下如文件系统过滤驱动频繁获取进程名可能成为性能瓶颈。我们可以实现一个简单的缓存机制typedef struct _PROCESS_NAME_CACHE { LIST_ENTRY ListEntry; HANDLE ProcessId; LARGE_INTEGER LastAccessTime; UNICODE_STRING ProcessName; } PROCESS_NAME_CACHE, *PPROCESS_NAME_CACHE; LIST_ENTRY ProcessNameCacheList; KSPIN_LOCK ProcessNameCacheLock; NTSTATUS GetCachedProcessName(HANDLE ProcessId, PUNICODE_STRING ProcessName) { PLIST_ENTRY entry; PPROCESS_NAME_CACHE cacheEntry NULL; NTSTATUS status STATUS_NOT_FOUND; KLOCK_QUEUE_HANDLE lockHandle; // 加锁保护缓存列表 KeAcquireInStackQueuedSpinLock(ProcessNameCacheLock, lockHandle); // 遍历查找缓存 for (entry ProcessNameCacheList.Flink; entry ! ProcessNameCacheList; entry entry-Flink) { cacheEntry CONTAINING_RECORD(entry, PROCESS_NAME_CACHE, ListEntry); if (cacheEntry-ProcessId ProcessId) { // 更新最后访问时间 KeQuerySystemTime(cacheEntry-LastAccessTime); // 复制缓存结果 status RtlDuplicateUnicodeString( RTL_DUPLICATE_UNICODE_STRING_ALLOCATE_NULL_TERMINATED, cacheEntry-ProcessName, ProcessName); break; } } KeReleaseInStackQueuedSpinLock(lockHandle); return status; }4.2 跨版本兼容性处理针对不同Windows版本我们可以实现一个自动适配的方案NTSTATUS GetProcessNameCrossVersion(PEPROCESS Process, PUNICODE_STRING ProcessName) { // 首先尝试官方API UCHAR* shortName PsGetProcessImageFileName(Process); if (shortName ! NULL) { ANSI_STRING ansiName; RtlInitAnsiString(ansiName, shortName); return RtlAnsiStringToUnicodeString(ProcessName, ansiName, TRUE); } // 回退到PEB方法 NTSTATUS status GetProcessFullPath(Process, ProcessName); if (NT_SUCCESS(status)) { // 从完整路径中提取文件名 UNICODE_STRING tempName *ProcessName; for (USHORT i tempName.Length / sizeof(WCHAR) - 1; i 0; i--) { if (tempName.Buffer[i] L\\) { tempName.Buffer i 1; tempName.Length - (i 1) * sizeof(WCHAR); tempName.MaximumLength - (i 1) * sizeof(WCHAR); break; } } *ProcessName tempName; } return status; }5. 实战案例进程监控驱动结合上述技术我们可以构建一个简单的进程监控驱动框架typedef struct _PROCESS_MONITOR_CONTEXT { PFLT_FILTER Filter; LIST_ENTRY ProcessList; KSPIN_LOCK ProcessListLock; } PROCESS_MONITOR_CONTEXT, *PPROCESS_MONITOR_CONTEXT; VOID ProcessMonitorCallback( HANDLE ParentId, HANDLE ProcessId, BOOLEAN Create) { PPROCESS_MONITOR_CONTEXT context GetMonitorContext(); PEPROCESS process NULL; UNICODE_STRING processName {0}; if (!NT_SUCCESS(PsLookupProcessByProcessId(ProcessId, process))) { return; } if (NT_SUCCESS(GetProcessNameCrossVersion(process, processName))) { DbgPrint(进程 %wZ %s (PID: %d)\n, processName, Create ? 已创建 : 已终止, HandleToULong(ProcessId)); RtlFreeUnicodeString(processName); } ObDereferenceObject(process); } NTSTATUS InitializeProcessMonitor(PDRIVER_OBJECT DriverObject) { PPROCESS_MONITOR_CONTEXT context; NTSTATUS status; // 分配上下文 context ExAllocatePoolWithTag(NonPagedPool, sizeof(PROCESS_MONITOR_CONTEXT), MONI); if (context NULL) { return STATUS_INSUFFICIENT_RESOURCES; } // 初始化结构 RtlZeroMemory(context, sizeof(PROCESS_MONITOR_CONTEXT)); InitializeListHead(context-ProcessList); KeInitializeSpinLock(context-ProcessListLock); // 注册进程通知 status PsSetCreateProcessNotifyRoutineEx(ProcessMonitorCallback, FALSE); if (!NT_SUCCESS(status)) { ExFreePoolWithTag(context, MONI); return status; } // 保存上下文 DriverObject-DeviceObject-DeviceExtension context; return STATUS_SUCCESS; }6. 安全性与稳定性考量在驱动开发中获取进程名操作必须考虑以下安全因素内存验证始终验证内核指针有效性if (!MmIsAddressValid(Pointer)) { return STATUS_ACCESS_VIOLATION; }异常处理使用__try/__except保护可能失败的操作__try { // 危险操作 } __except(EXCEPTION_EXECUTE_HANDLER) { status GetExceptionCode(); }引用计数正确管理对象引用ObReferenceObject(Process); // 使用过程... ObDereferenceObject(Process);字符串处理内核字符串操作的特殊要求UNICODE_STRING dest; RtlInitEmptyUnicodeString(dest, buffer, bufferSize); RtlCopyUnicodeString(dest, src);7. 性能优化技巧对于高性能场景我们可以采用以下优化策略批量处理技术NTSTATUS BatchGetProcessNames( PHANDLE ProcessIds, PUNICODE_STRING Names, ULONG Count) { for (ULONG i 0; i Count; i) { PEPROCESS process; if (NT_SUCCESS(PsLookupProcessByProcessId(ProcessIds[i], process))) { GetProcessNameCrossVersion(process, Names[i]); ObDereferenceObject(process); } } return STATUS_SUCCESS; }异步查询模式typedef struct _ASYNC_QUERY_CONTEXT { PIRP Irp; HANDLE ProcessId; PUNICODE_STRING NameBuffer; } ASYNC_QUERY_CONTEXT; VOID AsyncQueryWorker(PVOID Context) { PASYNC_QUERY_CONTEXT ctx Context; PEPROCESS process NULL; if (NT_SUCCESS(PsLookupProcessByProcessId(ctx-ProcessId, process))) { GetProcessNameCrossVersion(process, ctx-NameBuffer); ObDereferenceObject(process); } // 完成IRP ctx-Irp-IoStatus.Status STATUS_SUCCESS; IoCompleteRequest(ctx-Irp, IO_NO_INCREMENT); ExFreePoolWithTag(ctx, ASYC); }8. 调试与问题排查当进程名获取出现问题时以下调试技巧非常有用内核调试输出DbgPrint(调试信息: 参数1%d, 参数2%p\n, value1, pointer2);Windbg调试命令!process 0 0 # 列出所有进程 dt nt!_EPROCESS # 查看EPROCESS结构 !peb addr # 查看指定PEB内容验证性检查#if DBG if (Process NULL) { DbgBreakPoint(); } #endif日志记录系统VOID LogProcessQuery(HANDLE ProcessId, NTSTATUS Status) { LARGE_INTEGER time; KeQuerySystemTime(time); ExInterlockedInsertTailList( LogList, CreateLogEntry(ProcessId, Status, time), LogLock); }9. 现代Windows版本的注意事项随着Windows 10/11的更新微软引入了更多安全限制受保护进程某些系统进程无法通过常规方式访问if (PsIsProtectedProcess(Process)) { return STATUS_ACCESS_DENIED; }代码完整性驱动必须正确签名status SeValidateImageHeader(PVOID ImageBase);控制流防护需要处理CFG相关限制MmEnableVerifierExtensions(TRUE);虚拟化安全在虚拟化环境中可能需要特殊处理if (IsVirtualMachinePresent()) { // 虚拟机特定逻辑 }10. 完整示例驱动以下是一个完整的驱动示例演示了安全获取进程名的各种技术#include ntddk.h #include ntstrsafe.h #define DRIVER_TAG PrcN typedef struct { LIST_ENTRY ListEntry; HANDLE ProcessId; UNICODE_STRING ProcessName; } PROCESS_NAME_ENTRY, *PPROCESS_NAME_ENTRY; LIST_ENTRY ProcessNameList; KSPIN_LOCK ProcessNameLock; NTSTATUS InitializeProcessNameCache() { InitializeListHead(ProcessNameList); KeInitializeSpinLock(ProcessNameLock); return STATUS_SUCCESS; } VOID CleanupProcessNameCache() { KLOCK_QUEUE_HANDLE lockHandle; PLIST_ENTRY entry; KeAcquireInStackQueuedSpinLock(ProcessNameLock, lockHandle); while (!IsListEmpty(ProcessNameList)) { entry RemoveHeadList(ProcessNameList); PPROCESS_NAME_ENTRY cacheEntry CONTAINING_RECORD(entry, PROCESS_NAME_ENTRY, ListEntry); RtlFreeUnicodeString(cacheEntry-ProcessName); ExFreePoolWithTag(cacheEntry, DRIVER_TAG); } KeReleaseInStackQueuedSpinLock(lockHandle); } NTSTATUS CacheProcessName(HANDLE ProcessId, PCUNICODE_STRING ProcessName) { PPROCESS_NAME_ENTRY newEntry NULL; KLOCK_QUEUE_HANDLE lockHandle; NTSTATUS status; newEntry ExAllocatePoolWithTag(NonPagedPool, sizeof(PROCESS_NAME_ENTRY), DRIVER_TAG); if (newEntry NULL) { return STATUS_INSUFFICIENT_RESOURCES; } RtlZeroMemory(newEntry, sizeof(PROCESS_NAME_ENTRY)); newEntry-ProcessId ProcessId; status RtlDuplicateUnicodeString( RTL_DUPLICATE_UNICODE_STRING_ALLOCATE_NULL_TERMINATED, ProcessName, newEntry-ProcessName); if (!NT_SUCCESS(status)) { ExFreePoolWithTag(newEntry, DRIVER_TAG); return status; } KeAcquireInStackQueuedSpinLock(ProcessNameLock, lockHandle); InsertTailList(ProcessNameList, newEntry-ListEntry); KeReleaseInStackQueuedSpinLock(lockHandle); return STATUS_SUCCESS; } NTSTATUS GetProcessNameFromCache(HANDLE ProcessId, PUNICODE_STRING ProcessName) { PLIST_ENTRY entry; KLOCK_QUEUE_HANDLE lockHandle; NTSTATUS status STATUS_NOT_FOUND; KeAcquireInStackQueuedSpinLock(ProcessNameLock, lockHandle); for (entry ProcessNameList.Flink; entry ! ProcessNameList; entry entry-Flink) { PPROCESS_NAME_ENTRY cacheEntry CONTAINING_RECORD(entry, PROCESS_NAME_ENTRY, ListEntry); if (cacheEntry-ProcessId ProcessId) { status RtlDuplicateUnicodeString( RTL_DUPLICATE_UNICODE_STRING_ALLOCATE_NULL_TERMINATED, cacheEntry-ProcessName, ProcessName); break; } } KeReleaseInStackQueuedSpinLock(lockHandle); return status; } NTSTATUS GetProcessNameSafe(HANDLE ProcessId, PUNICODE_STRING ProcessName) { PEPROCESS process NULL; NTSTATUS status; // 首先尝试缓存 status GetProcessNameFromCache(ProcessId, ProcessName); if (NT_SUCCESS(status)) { return status; } // 获取进程对象 status PsLookupProcessByProcessId(ProcessId, process); if (!NT_SUCCESS(status)) { return status; } // 尝试官方API UCHAR* shortName PsGetProcessImageFileName(process); if (shortName ! NULL) { ANSI_STRING ansiName; RtlInitAnsiString(ansiName, shortName); status RtlAnsiStringToUnicodeString(ProcessName, ansiName, TRUE); if (NT_SUCCESS(status)) { CacheProcessName(ProcessId, ProcessName); } ObDereferenceObject(process); return status; } // 回退到PEB方法 KAPC_STATE apcState; PEB* peb PsGetProcessPeb(process); if (peb ! NULL peb-ProcessParameters ! NULL) { KeStackAttachProcess(process, apcState); __try { status RtlDuplicateUnicodeString( RTL_DUPLICATE_UNICODE_STRING_ALLOCATE_NULL_TERMINATED, peb-ProcessParameters-ImagePathName, ProcessName); if (NT_SUCCESS(status)) { // 提取文件名部分 for (USHORT i ProcessName-Length / sizeof(WCHAR) - 1; i 0; i--) { if (ProcessName-Buffer[i] L\\) { ProcessName-Buffer i 1; ProcessName-Length - (i 1) * sizeof(WCHAR); ProcessName-MaximumLength - (i 1) * sizeof(WCHAR); break; } } CacheProcessName(ProcessId, ProcessName); } } __except(EXCEPTION_EXECUTE_HANDLER) { status GetExceptionCode(); } KeUnstackDetachProcess(apcState); } else { status STATUS_NOT_FOUND; } ObDereferenceObject(process); return status; } VOID ProcessNotifyCallback( HANDLE ParentId, HANDLE ProcessId, BOOLEAN Create) { UNICODE_STRING processName {0}; if (NT_SUCCESS(GetProcessNameSafe(ProcessId, processName))) { DbgPrint(进程通知: %wZ %s (PID: %d)\n, processName, Create ? 已创建 : 已终止, HandleToULong(ProcessId)); RtlFreeUnicodeString(processName); } } VOID DriverUnload(PDRIVER_OBJECT DriverObject) { PsSetCreateProcessNotifyRoutineEx(ProcessNotifyCallback, TRUE); CleanupProcessNameCache(); DbgPrint(驱动卸载完成\n); } NTSTATUS DriverEntry( PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) { NTSTATUS status; DriverObject-DriverUnload DriverUnload; status InitializeProcessNameCache(); if (!NT_SUCCESS(status)) { return status; } status PsSetCreateProcessNotifyRoutineEx(ProcessNotifyCallback, FALSE); if (!NT_SUCCESS(status)) { CleanupProcessNameCache(); return status; } DbgPrint(驱动加载成功\n); return STATUS_SUCCESS; }这个完整示例展示了进程名缓存机制多种获取进程名方法的组合使用完善的错误处理和资源管理进程创建/终止通知安全的内存访问模式