0

Steve Townsend Answer
に基づいてプロセスが実行されたときにイメージのフルパスを取得するための単純なドライバーを作成しようとしています。ドライバーからの呼び出しのコードを以下に記述します。ProcessCallbackPsSetCreateProcessNotifyRoutineDriverEntry

void ProcessCallback(
    IN HANDLE  hParentId, 
    IN HANDLE  hProcessId, 
    IN BOOLEAN bCreate
    )

{
    if(bCreate)
    {
        PEPROCESS proc = PsGetCurrentProcess();

        WCHAR  strBuffer[(sizeof(UNICODE_STRING) / sizeof(WCHAR)) + 260];
        UNICODE_STRING str;
        str =(UNICODE_STRING*)&strBuffer;

        //initialize
        str.Buffer = &strBuffer[sizeof(UNICODE_STRING) / sizeof(WCHAR)];
        str.Length = 0x0;
        str.MaximumLength = 260 * sizeof(WCHAR);

        //note that the seconds arg (27) is ProcessImageFileName
        ZwQueryInformationProcess(proc, 27, &strBuffer, sizeof(strBuffer), NULL);

        DbgPrint("Start @  %wZ\n", str.Buffer); 

    }
    else
        DbgPrint("PID %i Terminated",hProcessId );

}

しかし、コードをビルドしようとすると、以下のエラーが発生します str =(UNICODE_STRING*)&strBuffer; :

エラーで UNICODE_STRING を変換できません * UNICODE_STRING に

どうしたの？？

4

1 に答える 1

0

UNICODE_STRING str を UNICODE_STRING *str に変更してください。次に、str を ZwQueryInformationProcess に渡します

于 2014-08-22T11:57:43.557 に答える