尝试打印 LIST_ENTRY 列表中的下一个进程名称后出现蓝屏

问题描述

我正在尝试打印 LIST_ENTRY 列表中我的进程之后的下一个进程名称。 但我总是蓝屏。

#include <Ntifs.h>
#include <ntddk.h>
#include <WinDef.h>

void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {

    UNREFERENCED_ParaMETER(DriverObject);
    DbgPrint("Sample driver Unload called\n");
}


extern "C"
NTSTATUS
DriverEntry(_In_ PDRIVER_OBJECT DriverObject,_In_ PUNICODE_STRING RegistryPath) {
    UNREFERENCED_ParaMETER(RegistryPath);
    DriverObject->DriverUnload = SampleUnload;
    DbgPrint("Sample driver Load called\n");

    PEPROCESS EP;
    if (::PsLookupProcessByProcessId(::PsGetCurrentProcessId(),&EP) == STATUS_INVALID_ParaMETER) {
        DbgPrint("Can't get EPROCESS");
        return STATUS_INVALID_ParaMETER;
    }

    LIST_ENTRY list_entry = *((LIST_ENTRY*)(LPBYTE)EP + 0x448);
    UCHAR* fileName;
    fileName = ((UCHAR*)(LPBYTE)list_entry.Flink - 0x448 + 0x5a8);

    for (int i = 0; i < 15; i++)
        DbgPrint("%u",fileName[i]);

    DbgPrint("Finish");

    return STATUS_SUCCESS;
}

在 EPROCESS 结构中，LIST_ENTRY 偏移量中有一个 0x448 对象。 所以我创建了一个 LIST_ENTRY 对象并将他分配给 EPROCESS + 0x448 的地址，然后将 0x5a8-0x448 添加到 LIST_ENTRY.FLINK。 假设到达 ImageFileName 偏移量中的 0x5a8 数组。

但由于某种原因它不起作用。

解决方法

您在代码中有多个无意义的转换：

*((LIST_ENTRY*)(LPBYTE)EP + 0x448);

和

((UCHAR*)(LPBYTE)list_entry.Flink - 0x448 + 0x5a8);

这意味着例如将 EP（不是它的地址）转换为字节指针，然后（因为强制转换具有从右到左的关联性）立即忘记转换为字节指针，而是转换为LIST_ENTRY*。然后，当犹豫要使用哪种类型时，对 LIST_ENTRY 对象执行指针运算。那是 0x448 * sizeof(LIST_ENTRY) 字节。

我猜你真的打算这样做：

LPBYTE lpb = (LPBYTE)&EP + 0x448;
LIST_ENTRY list_entry = *(LIST_ENTRY*)lpb;

不过，这可能是一个严格的别名违规错误。或者对齐错误。