device-driver - 如何在驱动程序级别提取图像文件名？

Question

我想在微过滤器文件系统驱动程序中提取进程映像名称。我正在做这样的事情，但我得到一个蓝屏死机。可能是缓冲区分配错误？

status = ZwQueryInformationProcess( NtCurrentProcess(),
                                    ProcessImageFileName,
                                    buffer,
                                    returnedLength,
                                    &returnedLength );

Answer 1

不推荐使用使用ZwQueryInformationProcess来获取进程信息。

最好的方法是使用PsSetCreateProcessNotifyRoutine并PsSetLoadImageNotifyRoutine准备您自己的流程列表。