WDK：通过name.exe获取processId

Question

我正在 Windows Filtering Platform 中开发一个驱动程序，我需要另一个进程的进程 ID 来完成我需要做的事情。我只知道该进程的文件名（name.exe）。

在 win32 中，我可以使用函数 CreateToolhelp32Snapshot 来获取所有进程的列表，并且我可以在那里搜索 PID。 ( http://msdn.microsoft.com/en- us/library/ms684834(VS.85).aspx ）

不幸的是在内核模式下这个东西不可用。有人知道如何通过内核空间仅知道二进制名称来获取 processID 吗？

Answer 1

根据时间的不同，您似乎可以使用您自己的 CreateProcessNotifyEx() 处理程序调用 PsSetCreateProcessNotifyRoutineEx()。然后，您的 CreateProcessNotifyEx() 将收到一个指向 PS_CREATE_NOTIFY_INFO 的指针。此结构中包含字段 ImageFileName 和位 FileOpenNameAvailable。

程序名称将位于 ImageFileName 指向的 Unicode 字符串中。如果FileOpenNameAvailable，则该字符串将包含二进制文件的完全限定路径。否则，预计只能找到模块名称，可能没有扩展名。

Answer 2

可以使用进程快照、遍历进程、对比进程名的方法直接获取进程。

DWORD GetProcessIDByName(LPCTSTR szProcessName)
{
    STARTUPINFO st;
    PROCESS_INFORMATION pi;
    PROCESSENTRY32 ps;
    HANDLE hSnapshot;
    DWORD dwPID = 0;
    ZeroMemory(&st, sizeof(STARTUPINFO));
    ZeroMemory(&pi, sizeof(PROCESS_INFORMATION));
    st.cb = sizeof(STARTUPINFO);
    ZeroMemory(&ps, sizeof(PROCESSENTRY32));
    ps.dwSize = sizeof(PROCESSENTRY32);
    hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    if (hSnapshot == INVALID_HANDLE_VALUE)
    {
        return dwPID;
    }
    if (!Process32First(hSnapshot, &ps))
    {
        return dwPID;
    }
    do
    {
        if (lstrcmpi(ps.szExeFile, szProcessName) == 0)     {
            dwPID = ps.th32ProcessID;
        }
    } while (Process32Next(hSnapshot, &ps));
     
    CloseHandle(hSnapshot);
    return dwPID;
}

然后在主程序中加入如下代码：

DWORD pId = GetProcessIDByName("xxx.exe");