在內(nèi)核開發(fā)中，經(jīng)常需要進(jìn)行進(jìn)程和句柄之間的互相轉(zhuǎn)換。進(jìn)程通常由一個唯一的進(jìn)程標(biāo)識符（PID）來標(biāo)識，而句柄是指對內(nèi)核對象的引用。在Windows內(nèi)核中，EProcess結(jié)構(gòu)表示一個進(jìn)程，而HANDLE是一個句柄。

為了實(shí)現(xiàn)進(jìn)程與句柄之間的轉(zhuǎn)換，我們需要使用一些內(nèi)核函數(shù)。對于進(jìn)程PID和句柄的互相轉(zhuǎn)換，可以使用函數(shù)如OpenProcess和GetProcessId。OpenProcess函數(shù)接受一個PID作為參數(shù)，并返回一個句柄。GetProcessId函數(shù)接受一個句柄作為參數(shù)，并返回該進(jìn)程的PID。

(相關(guān)資料圖)

對于進(jìn)程PID和EProcess結(jié)構(gòu)的互相轉(zhuǎn)換，可以使用函數(shù)如PsGetProcessId和PsGetCurrentProcess。PsGetProcessId函數(shù)接受一個EProcess結(jié)構(gòu)作為參數(shù)，并返回該進(jìn)程的PID。PsGetCurrentProcess函數(shù)返回當(dāng)前進(jìn)程的EProcess結(jié)構(gòu)。

最后，對于句柄和EProcess結(jié)構(gòu)的互相轉(zhuǎn)換，可以使用函數(shù)如ObReferenceObjectByHandle和PsGetProcessId。ObReferenceObjectByHandle函數(shù)接受一個句柄和一個對象類型作為參數(shù)，并返回對該對象的引用。PsGetProcessId函數(shù)接受一個EProcess結(jié)構(gòu)作為參數(shù)，并返回該進(jìn)程的PID。

掌握這些內(nèi)核函數(shù)的使用，可以方便地實(shí)現(xiàn)進(jìn)程與句柄之間的互相轉(zhuǎn)換。在進(jìn)行進(jìn)程和線程的內(nèi)核開發(fā)之前，了解這些轉(zhuǎn)換功能是非常重要的。

進(jìn)程PID與進(jìn)程HANDLE之間的互相轉(zhuǎn)換:進(jìn)程PID轉(zhuǎn)化為HANDLE句柄，可通過ZwOpenProcess這個內(nèi)核函數(shù)，傳入PID傳出進(jìn)程HANDLE句柄，如果需要將HANDLE句柄轉(zhuǎn)化為PID則可通過ZwQueryInformationProcess這個內(nèi)核函數(shù)來實(shí)現(xiàn)，具體轉(zhuǎn)換實(shí)現(xiàn)方法如下所示；

在內(nèi)核開發(fā)中，經(jīng)常需要進(jìn)行進(jìn)程PID和句柄HANDLE之間的互相轉(zhuǎn)換。將進(jìn)程PID轉(zhuǎn)化為句柄HANDLE的方法是通過調(diào)用ZwOpenProcess內(nèi)核函數(shù)，傳入PID作為參數(shù)，函數(shù)返回對應(yīng)進(jìn)程的句柄HANDLE。具體實(shí)現(xiàn)方法是，定義一個OBJECT_ATTRIBUTES結(jié)構(gòu)體和CLIENT_ID結(jié)構(gòu)體，將進(jìn)程PID賦值給CLIENT_ID結(jié)構(gòu)體的UniqueProcess字段，調(diào)用ZwOpenProcess函數(shù)打開進(jìn)程，如果函數(shù)執(zhí)行成功，將返回進(jìn)程句柄HANDLE，否則返回NULL。

將句柄HANDLE轉(zhuǎn)化為進(jìn)程PID的方法是通過調(diào)用ZwQueryInformationProcess內(nèi)核函數(shù)，傳入進(jìn)程句柄和信息類別作為參數(shù)，函數(shù)返回有關(guān)指定進(jìn)程的信息，包括進(jìn)程PID。具體實(shí)現(xiàn)方法是，定義一個PROCESS_BASIC_INFORMATION結(jié)構(gòu)體和一個NTSTATUS變量，調(diào)用ZwQueryInformationProcess函數(shù)查詢進(jìn)程基本信息，如果函數(shù)執(zhí)行成功，將返回進(jìn)程PID，否則返回0。

其中ZwQueryInformationProcess是一個未被導(dǎo)出的函數(shù)如需使用要通過MmGetSystemRoutineAddress動態(tài)獲取到，該函數(shù)的原型定義如下：

NTSTATUS ZwQueryInformationProcess(  HANDLE           ProcessHandle,  PROCESSINFOCLASS ProcessInformationClass,  PVOID            ProcessInformation,  ULONG            ProcessInformationLength,  PULONG           ReturnLength);

函數(shù)可以接受一個進(jìn)程句柄ProcessHandle、一個PROCESSINFOCLASS枚舉類型的參數(shù)ProcessInformationClass、一個用于存儲返回信息的緩沖區(qū)ProcessInformation、緩沖區(qū)大小ProcessInformationLength和一個指向ULONG類型變量的指針ReturnLength作為參數(shù)。

在調(diào)用該函數(shù)時(shí)，ProcessInformationClass參數(shù)指定要獲取的進(jìn)程信息的類型。例如，如果要獲取進(jìn)程的基本信息，則需要將該參數(shù)設(shè)置為ProcessBasicInformation；如果要獲取進(jìn)程的映像文件名，則需要將該參數(shù)設(shè)置為ProcessImageFileName。調(diào)用成功后，返回的信息存儲在ProcessInformation緩沖區(qū)中。

在調(diào)用該函數(shù)時(shí)，如果ProcessInformation緩沖區(qū)的大小小于需要返回的信息大小，則該函數(shù)將返回STATUS_INFO_LENGTH_MISMATCH錯誤代碼，并將所需信息的大小存儲在ReturnLength指針指向的ULONG類型變量中。

ZwQueryInformationProcess函數(shù)的返回值為NTSTATUS類型，表示函數(shù)執(zhí)行的結(jié)果狀態(tài)。如果函數(shù)執(zhí)行成功，則返回STATUS_SUCCESS，否則返回其他錯誤代碼。

掌握這些轉(zhuǎn)換方法可以方便地在內(nèi)核開發(fā)中進(jìn)行進(jìn)程PID和句柄HANDLE之間的互相轉(zhuǎn)換。

#include // 定義函數(shù)指針typedef NTSTATUS(*PfnZwQueryInformationProcess)(__in HANDLE ProcessHandle,__in PROCESSINFOCLASS ProcessInformationClass,__out_bcount(ProcessInformationLength) PVOID ProcessInformation,__in ULONG ProcessInformationLength,__out_opt PULONG ReturnLength);PfnZwQueryInformationProcess ZwQueryInformationProcess;// 傳入PID傳出HANDLE句柄HANDLE PidToHandle(ULONG PID){HANDLE hProcessHandle;OBJECT_ATTRIBUTES obj;CLIENT_ID clientid;clientid.UniqueProcess = PID;clientid.UniqueThread = 0;// 屬性初始化InitializeObjectAttributes(&obj, 0, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);NTSTATUS status = ZwOpenProcess(&hProcessHandle, PROCESS_ALL_ACCESS, &obj, &clientid);if (status == STATUS_SUCCESS){// DbgPrint("[*] 已打開 \n");ZwClose(&hProcessHandle);return hProcessHandle;}return 0;}// HANDLE句柄轉(zhuǎn)換為PIDULONG HandleToPid(HANDLE handle){PROCESS_BASIC_INFORMATION ProcessBasicInfor;// 初始化字符串，并獲取動態(tài)地址UNICODE_STRING UtrZwQueryInformationProcessName = RTL_CONSTANT_STRING(L"ZwQueryInformationProcess");ZwQueryInformationProcess = (PfnZwQueryInformationProcess)MmGetSystemRoutineAddress(&UtrZwQueryInformationProcessName);// 調(diào)用查詢ZwQueryInformationProcess(handle,ProcessBasicInformation,(PVOID)&ProcessBasicInfor,sizeof(ProcessBasicInfor),NULL);// 返回進(jìn)程PIDreturn ProcessBasicInfor.UniqueProcessId;}VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("[-] 驅(qū)動卸載 \n");}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("Hello LyShark \n");// 將PID轉(zhuǎn)換為HANDLEHANDLE ptr = PidToHandle(6932);DbgPrint("[*] PID  --> HANDLE = %p \n", ptr);// 句柄轉(zhuǎn)為PIDULONG pid = HandleToPid(ptr);DbgPrint("[*] HANDLE  --> PID = %d \n", pid);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}

編譯并運(yùn)行如上這段代碼片段，將把進(jìn)程PID轉(zhuǎn)為HANDLE句柄，再通過句柄將其轉(zhuǎn)為PID，輸出效果圖如下所示；

進(jìn)程PID轉(zhuǎn)換為EProcess結(jié)構(gòu):通過PsLookUpProcessByProcessId函數(shù)，該函數(shù)傳入一個PID則可獲取到該P(yáng)ID的EProcess結(jié)構(gòu)體，具體轉(zhuǎn)換實(shí)現(xiàn)方法如下所示；

本段代碼展示了如何使用Windows內(nèi)核API函數(shù)PsLookupProcessByProcessId將一個PID（Process ID）轉(zhuǎn)換為對應(yīng)的EProcess結(jié)構(gòu)體，EProcess是Windows內(nèi)核中描述進(jìn)程的數(shù)據(jù)結(jié)構(gòu)之一。

代碼段中定義了一個名為PidToObject的函數(shù)，該函數(shù)的輸入?yún)?shù)是一個PID，輸出參數(shù)是對應(yīng)的EProcess結(jié)構(gòu)體。

在函數(shù)中，通過調(diào)用PsLookupProcessByProcessId函數(shù)來獲取對應(yīng)PID的EProcess結(jié)構(gòu)體，如果獲取成功，則調(diào)用ObDereferenceObject函數(shù)來減少EProcess對象的引用計(jì)數(shù)，并返回獲取到的EProcess指針；否則返回0。

在DriverEntry函數(shù)中，調(diào)用了PidToObject函數(shù)將PID 6932轉(zhuǎn)換為對應(yīng)的EProcess結(jié)構(gòu)體，并使用DbgPrint函數(shù)輸出了轉(zhuǎn)換結(jié)果。最后設(shè)置了驅(qū)動程序卸載函數(shù)為UnDriver，當(dāng)驅(qū)動程序被卸載時(shí)，UnDriver函數(shù)會被調(diào)用。

#include #include // 將Pid轉(zhuǎn)換為Object or EProcessPEPROCESS PidToObject(ULONG Pid){PEPROCESS pEprocess;NTSTATUS status = PsLookupProcessByProcessId((HANDLE)Pid, &pEprocess);if (status == STATUS_SUCCESS){ObDereferenceObject(pEprocess);return pEprocess;}return 0;}VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("[-] 驅(qū)動卸載 \n");}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("Hello LyShark \n");// 將PID轉(zhuǎn)換為PEPROCESSPEPROCESS ptr = PidToObject(6932);DbgPrint("[*] PID  --> PEPROCESS = %p \n", ptr);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}

編譯并運(yùn)行如上這段代碼片段，將把進(jìn)程PID轉(zhuǎn)為EProcess結(jié)構(gòu)，輸出效果圖如下所示；

進(jìn)程HANDLE與EPROCESS互相轉(zhuǎn)換:將Handle轉(zhuǎn)換為EProcess結(jié)構(gòu)可使用內(nèi)核函數(shù)ObReferenceObjectByHandle實(shí)現(xiàn)，反過來EProcess轉(zhuǎn)換為Handle句柄可使用ObOpenObjectByPointer內(nèi)核函數(shù)實(shí)現(xiàn)，具體轉(zhuǎn)換實(shí)現(xiàn)方法如下所示；

首先，將Handle轉(zhuǎn)換為EProcess結(jié)構(gòu)體，可以使用ObReferenceObjectByHandle內(nèi)核函數(shù)。該函數(shù)接受一個Handle參數(shù)，以及對應(yīng)的對象類型（這里為EProcess），并返回對應(yīng)對象的指針。此函數(shù)會對返回的對象增加引用計(jì)數(shù)，因此在使用完畢后，需要使用ObDereferenceObject將引用計(jì)數(shù)減少。

其次，將EProcess結(jié)構(gòu)體轉(zhuǎn)換為Handle句柄，可以使用ObOpenObjectByPointer內(nèi)核函數(shù)。該函數(shù)接受一個指向?qū)ο蟮闹羔槪ㄟ@里為EProcess結(jié)構(gòu)體的指針），以及所需的訪問權(quán)限和對象類型，并返回對應(yīng)的Handle句柄。此函數(shù)會將返回的句柄添加到當(dāng)前進(jìn)程的句柄表中，因此在使用完畢后，需要使用CloseHandle函數(shù)將句柄關(guān)閉，以避免資源泄漏。

綜上所述，我們可以通過這兩個內(nèi)核函數(shù)實(shí)現(xiàn)Handle和EProcess之間的相互轉(zhuǎn)換，轉(zhuǎn)換代碼如下所示；

#include #include // 傳入PID傳出HANDLE句柄HANDLE PidToHandle(ULONG PID){HANDLE hProcessHandle;OBJECT_ATTRIBUTES obj;CLIENT_ID clientid;clientid.UniqueProcess = PID;clientid.UniqueThread = 0;// 屬性初始化InitializeObjectAttributes(&obj, 0, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, 0, 0);NTSTATUS status = ZwOpenProcess(&hProcessHandle, PROCESS_ALL_ACCESS, &obj, &clientid);if (status == STATUS_SUCCESS){// DbgPrint("[*] 已打開 \n");ZwClose(&hProcessHandle);return hProcessHandle;}return 0;}// 將Handle轉(zhuǎn)換為EProcess結(jié)構(gòu)PEPROCESS HandleToEprocess(HANDLE handle){PEPROCESS pEprocess;NTSTATUS status = ObReferenceObjectByHandle(handle, GENERIC_ALL, *PsProcessType, KernelMode, &pEprocess, NULL);if (status == STATUS_SUCCESS){return pEprocess;}return 0;}// EProcess轉(zhuǎn)換為Handle句柄HANDLE EprocessToHandle(PEPROCESS eprocess){HANDLE hProcessHandle = (HANDLE)-1;NTSTATUS status = ObOpenObjectByPointer(eprocess,OBJ_KERNEL_HANDLE,0,0,*PsProcessType,KernelMode,&hProcessHandle);if (status == STATUS_SUCCESS){return hProcessHandle;}return 0;}VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("[-] 驅(qū)動卸載 \n");}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("Hello LyShark \n");// 將Handle轉(zhuǎn)換為EProcess結(jié)構(gòu)PEPROCESS eprocess = HandleToEprocess(PidToHandle(6932));DbgPrint("[*] HANDLE --> EProcess = %p \n", eprocess);// 將EProcess結(jié)構(gòu)轉(zhuǎn)換為HandleHANDLE handle = EprocessToHandle(eprocess);DbgPrint("[*] EProcess --> HANDLE = %p \n", handle);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}

編譯并運(yùn)行如上這段代碼片段，將把進(jìn)程HANDLE與EProcess結(jié)構(gòu)互轉(zhuǎn)，輸出效果圖如下所示；

關(guān)鍵詞：