尝试打印 LIST_ENTRY 列表中的下一个进程名称后出现 BSOD

Question

我正在尝试打印 LIST_ENTRY 列表中我的进程之后的下一个进程名称。但是我总是蓝屏死机。

#include <Ntifs.h>
#include <ntddk.h>
#include <WinDef.h>

void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {

    UNREFERENCED_PARAMETER(DriverObject);
    DbgPrint("Sample driver Unload called\n");
}


extern "C"
NTSTATUS
DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
    UNREFERENCED_PARAMETER(RegistryPath);
    DriverObject->DriverUnload = SampleUnload;
    DbgPrint("Sample driver Load called\n");

    PEPROCESS EP;
    if (::PsLookupProcessByProcessId(::PsGetCurrentProcessId(), &EP) == STATUS_INVALID_PARAMETER) {
        DbgPrint("Can't get EPROCESS");
        return STATUS_INVALID_PARAMETER;
    }

    LIST_ENTRY list_entry = *((LIST_ENTRY*)(LPBYTE)EP + 0x448);
    UCHAR* fileName;
    fileName = ((UCHAR*)(LPBYTE)list_entry.Flink - 0x448 + 0x5a8);

    for (int i = 0; i < 15; i++)
        DbgPrint("%u" , fileName[i]);

    DbgPrint("Finish");

    return STATUS_SUCCESS;
}

在 EPROCESS 结构中，在 0x448 偏移处有一个 LIST_ENTRY 对象。所以我创建了一个 LIST_ENTRY 对象并将他分配给 EPROCESS + 0x448 的地址，然后我将 0x5a8-0x448 添加到 LIST_ENTRY.FLINK。假设在 0x5a8 偏移量中到达 ImageFileName 数组。

但由于某些原因它不起作用。

Answer 1

您在代码中有多个无意义的转换：

*((LIST_ENTRY*)(LPBYTE)EP + 0x448);

和

((UCHAR*)(LPBYTE)list_entry.Flink - 0x448 + 0x5a8);

这意味着例如将 EP（不是它的地址）转换为字节指针，然后（因为转换具有从右到左的关联性）立即忘记转换为字节指针，而是转换到 LIST_ENTRY*。然后在犹豫要使用哪种类型时，对 LIST_ENTRY 对象执行指针运算。即 0x448 * sizeof(LIST_ENTRY) 字节。

我猜你实际上是想这样做：

LPBYTE lpb = (LPBYTE)&EP + 0x448;
LIST_ENTRY list_entry = *(LIST_ENTRY*)lpb;

虽然这可能是一个严格的别名违规错误。或者对齐错误。

尝试打印 LIST_ENTRY 列表中的下一个进程名称后出现 BSOD

Getting BSOD After When Trying To Print The Next Process Name In LIST_ENTRY List

c

c++

winapi

driver

winappdriver