因為最近有需求寫windows平臺下的發外掛模塊，需要實現對進程的監控，其中一個線程需要匹配進程名，那么問題來了，這就需要獲取所有進程名稱。
在用戶層ring3下，枚舉進程的方法主要有：

1.CreateToolhelp32Snapshot 通過快照枚舉,x86和x64,winxp-win10 均可獲取到進程名稱。

2.通過 Psapi.dll，LoadLibrary(“PSAPI.DLL”),調用其EnumProcesses()枚舉進程，x86和x64,winxp-win10 均可獲取到進程名稱，但是這個方法會OpenProcess打開進程，在ring3層打開進程，很大概率遇到訪問權限問題，所以慎用。

3.通過Wtsapi32.dll, WTSOpenServer()和WTSEnumerateProcess()函數來枚舉進程，但是這個函數需要首先傳入NetBios名稱，而且要打開服務來執行，就怕遇到獲取不到NetBios名稱或者服務打開失敗的情況，所以定時枚舉循環進程的話慎用。

4.就是最穩定也最常用的方法了，通過ntdll.dll 導出的ZwQuerySystemInformation實現進程枚舉。當然這是在ring3層，需要注意寬字符轉換ANSI, 建議使用這種方法。

以上都是ring3層，用戶層枚舉進程的方法。

可是我們的游戲保護，不能在用戶層，不然隨便一個SSDT表修改或者Hook jmp 跳轉，就可以繞過，必須使用驅動來保護游戲，不過驅動保護涉及到驅動簽名的問題，不過有國外的大牛寫了驅動偽造簽名的工具，我們偽造微軟的驅動簽名，然后就可以悄無聲息的保護游戲了。不廢話 vs2010 vc++ 驅動枚舉進程。

DriverProtect.h

#ifndef _WIN32_WINNT #define _WIN32_WINNT 0x0501 #endifpragma pack(1) /*SSDT表*/ typedef struct ServiceDescriptorEntry {unsigned int *ServiceTableBase; unsigned int *ServiceCounterTableBase; unsigned int NumberOfServices; unsigned char *ParamTableBase; }ServiceDescriptorEntry_t, *PServiceDescriptorEntry;pragma pack() typedef struct _PROCESS_INFO {ULONG_PTR eprocess; ULONG pid; ULONG ppid; UNICODE_STRING pathName; UNICODE_STRING ImageFileName; }PROCESSINFO,*PPROCESSINFO;typedef struct _SYSTEM_THREADS {LARGE_INTEGER KernelTime;LARGE_INTEGER UserTime;LARGE_INTEGER CreateTime;ULONG WaitTime;PVOID StartAddress;CLIENT_ID ClientID;KPRIORITY Priority;KPRIORITY BasePriority;ULONG ContextSwitchCount;ULONG ThreadState;KWAIT_REASON WaitReason;ULONG Reserved; //Add }SYSTEM_THREADS,*PSYSTEM_THREADS;typedef struct _SYSTEM_PROCESSES {ULONG NextEntryDelta; ULONG ThreadCount; ULONG Reserved[6]; LARGE_INTEGER CreateTime; LARGE_INTEGER UserTime; LARGE_INTEGER KernelTime; UNICODE_STRING ProcessName; KPRIORITY BasePriority; ULONG ProcessId; ULONG InheritedFromProcessId; ULONG HandleCount; ULONG Reserved2[2]; VM_COUNTERS VmCounters; IO_COUNTERS IoCounters; } _SYSTEM_PROCESSES,*PSYSTEM_PROCESSES;typedef enum _SYSTEM_INFORMATION_CLASS {SystemBasicInformation, // 0 Y N SystemProcessorInformation, // 1 Y N SystemPerformanceInformation, // 2 Y N SystemTimeOfDayInformation, // 3 Y N SystemNotImplemented1, // 4 Y N SystemProcessesAndThreadsInformation, // 5 Y N SystemCallCounts, // 6 Y N SystemConfigurationInformation, // 7 Y N SystemProcessorTimes, // 8 Y N SystemGlobalFlag, // 9 Y Y SystemNotImplemented2, // 10 Y N SystemModuleInformation, // 11 Y N SystemLockInformation, // 12 Y N SystemNotImplemented3, // 13 Y N SystemNotImplemented4, // 14 Y N SystemNotImplemented5, // 15 Y N SystemHandleInformation, // 16 Y N SystemObjectInformation, // 17 Y N SystemPagefileInformation, // 18 Y N SystemInstructionEmulationCounts, // 19 Y N SystemInvalidInfoClass1, // 20 SystemCacheInformation, // 21 Y Y SystemPoolTagInformation, // 22 Y N SystemProcessorStatistics, // 23 Y N SystemDpcInformation, // 24 Y Y SystemNotImplemented6, // 25 Y N SystemLoadImage, // 26 N Y SystemUnloadImage, // 27 N Y SystemTimeAdjustment, // 28 Y Y SystemNotImplemented7, // 29 Y N SystemNotImplemented8, // 30 Y N SystemNotImplemented9, // 31 Y N SystemCrashDumpInformation, // 32 Y N SystemExceptionInformation, // 33 Y N SystemCrashDumpStateInformation, // 34 Y Y/N SystemKernelDebuggerInformation, // 35 Y N SystemContextSwitchInformation, // 36 Y N SystemRegistryQuotaInformation, // 37 Y Y SystemLoadAndCallImage, // 38 N Y SystemPrioritySeparation, // 39 N Y SystemNotImplemented10, // 40 Y N SystemNotImplemented11, // 41 Y N SystemInvalidInfoClass2, // 42 SystemInvalidInfoClass3, // 43 SystemTimeZoneInformation, // 44 Y N SystemLookasideInformation, // 45 Y N SystemSetTimeSlipEvent, // 46 N Y SystemCreateSession, // 47 N Y SystemDeleteSession, // 48 N Y SystemInvalidInfoClass4, // 49 SystemRangeStartInformation, // 50 Y N SystemVerifierInformation, // 51 Y Y SystemAddVerifier, // 52 N Y SystemSessionProcessesInformation // 53 Y N } SYSTEM_INFORMATION_CLASS;

DriverProtect.cpp

#include "ntddk.h" #include "ntdef.h" #include "DriverProtect.h"#define SystemProcessesAndThreadsInformation 5extern "C" NTSTATUS ZwQuerySystemInformation(IN ULONG SystemInformationClass, IN OUT PVOID SystemInformation, IN ULONG SystemInformationLength, OUT PULONG ReturnLength OPTIONAL ); VOID UnLoadDriver(PDRIVER_OBJECT DriverObject) {KdPrint(("驅動成功卸載!")); }VOID EnmuProcess() {ULONG cbBuffer = 0x8000; PVOID pBuffer = NULL; NTSTATUS rc; LPWSTR pszProcessName; PSYSTEM_PROCESSES pInfo; do{pBuffer = ExAllocatePool (NonPagedPool, cbBuffer); if (pBuffer == NULL){return;}rc = ZwQuerySystemInformation(SystemProcessesAndThreadsInformation, pBuffer, cbBuffer, NULL);if ( rc == STATUS_INFO_LENGTH_MISMATCH) //緩沖區不足{ExFreePool(pBuffer);cbBuffer *= 2;}else if (!NT_SUCCESS(rc)){ExFreePool(pBuffer);return;}}while (rc == STATUS_INFO_LENGTH_MISMATCH);pInfo = (PSYSTEM_PROCESSES)pBuffer;while (1){pszProcessName = pInfo->ProcessName.Buffer;if (pszProcessName == NULL){pszProcessName = L"NULL";}if (pInfo->ProcessId == 0){DbgPrint("PID %5d System Idle Process", pInfo->ProcessId);}else{DbgPrint("PID %5d %ws/r/n", pInfo->ProcessId, pInfo->ProcessName.Buffer);}if (pInfo->NextEntryDelta == 0){break;}pInfo = (PSYSTEM_PROCESSES)(((PUCHAR)pInfo) + pInfo->NextEntryDelta);}ExFreePool(pBuffer); }NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath) {DriverObject->DriverUnload = UnLoadDriver;EnmuProcess();return STATUS_SUCCESS; }

生成了驅動，我們跑到虛擬機上，復制驅動文件和符號到虛擬機

我們使用的 visualDDK + windbg 通過虛擬機調試
內核映射

打開windbg , 然后遠程連接虛擬機。

如果windbg 顯示 Debuggee is running…，表示沒有斷點，內核是跑起來的，此時我們加載剛才生成的驅動,instdrv,加載，啟動。

此時觀察windbg, DbgPrint打印信息就是枚舉驅動的pid和進程名。

既然已經進入內核了，而且也獲取到進程名稱和PID了，此時操作內核和殺軟是在同一個級別，所以殺軟沒有任何提示的，當然你就可以進行模塊枚舉或者hook 內存讀寫函數或者進程打開函數，然后保護你想保護的進程。

總結

以上是生活随笔為你收集整理的windows 驱动实现进程枚举的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。