根据Handle获取进程名的方法

写ZwTerminateProcess hook的时候hook到ZwTerminateProcess的参数是HANDLE ProcessHandle和NTSTATUS ExitStatus。结构如下：
NTSTATUS

  ZwTerminateProcess(

    IN HANDLE  ProcessHandle,

    IN NTSTATUS  ExitStatus
    );

    当ProcessHandle为null的时候，表明改进程结束自身进程。当该进程结束其他进程是，ProcessHandle指向这个被结束进程的process object。为了获取被结束进程的名称，要进行以下操作。

1. 通过ObReferenceObjectByHandle获得该进程的EPROCESS指针。

2. 通过未公开函数PsGetProcessImageFileName来获取进程名称。

PsGetProcessImageFileName结构如下：

UCHAR * PsGetProcessImageFileName(

                          __in PEPROCESS Process

                          );


具体代码如下：

void GetProcessNamebyHandle(HANDLE handle,PCHAR Name)
{
PEPROCESS Process;
NTSTATUS status;
char *nameptr=NULL;
status = ObReferenceObjectByHandle(handle,0,NULL,KernelMode,&Process,NULL);
if(!NT_SUCCESS(status))
{
DbgPrint("GetProcessNamebyHandle failed\n");
strcpy(nameptr,"Unkown");
return;
}
//KdPrint(("Process:%x\n",Process));
nameptr =PsGetProcessImageFileName(Process);
strncpy(Name,nameptr,PROCNAMELEN);
Name[PROCNAMELEN]=0x00;
return;
}

FakedZwTerminateProcess代码如下：

NTSTATUS FakedZwTerminateProcess(IN HANDLE ProcessHandle,

IN NTSTATUS ExitStatus)
{
char aProcessName[PROCNAMELEN];
char killedProName[PROCNAMELEN];
NTSTATUS status;
status = RealZwTerminateProcess(ProcessHandle,	ExitStatus);
if(NT_SUCCESS(status)&&NT_SUCCESS(ExitStatus))
{
GetProcessName(aProcessName);
if(ProcessHandle==NULL)
{
strncpy(killedProName,aProcessName,sizeof(aProcessName));
}
else
{
GetProcessNamebyHandle(ProcessHandle,killedProName);
}
sprintf(output,"TerminateProcess: %s --> %s\n",aProcessName,killedProName);
KdPrint(("%s\n",output));
}

return status;
}

其中GetProcessName（aProcessName）函数是获取调用ZwTerminateProcess的当前进程。