ObQueryNameString的一个问题

ObQueryNameString函数用来从对象目录树中,取出指定内核对象的名称.其定义如下:

NTSTATUS
ObQueryNameString(

IN PVOID Object,

OUT POBJECT_NAME_INFORMATION ObjectNameInfo,

IN ULONG Length,

OUT PULONG ReturnLength
);

最近有程序使用到了它.但是总是出错.上网查了一下果然有问题:该函数并没有使用ObjectNameInfo->Name.Buffer指定的地址作为缓冲区,而是想当然的将(ObjectNameInfo + 1)作为

缓冲区了.

文章:<强盗函数ObQueryNameString！！！>有详细的描述.

(http://hi.baidu.com/1ian9yu/blog/item/a41cbadd73576adf8c102931.html)

今天把WRK中的ObQueryNameString的源代码打开一看,果然是这么实现的:

....

//
// Set the String buffer to point to the byte right after the
// last byte in the output string. This following logic actually
// fills in the buffer backwards working from the name back to the
// root
//

StringBuffer = (PWCH)ObjectNameInfo;
StringBuffer = (PWCH)((PCH)StringBuffer + NameInfoSize);

//NameInfoSize是需要的缓冲区长度,此时StringBuffer指向缓冲区的最后,下面将从后往前来填写

//内核对象名称

OriginalBuffer = (PWCH)((PCH)ObjectNameInfo + sizeof( OBJECT_NAME_INFORMATION ));

try {
....

所以,以后使用ObQueryNameString要注意了.:)