尝试打印LIST_ENTRY列表中的下一个进程名称时获取BSOD

Question

我正在尝试打印LIST_ENTRY列表中进程之后的下一个进程名称。但我总是得BSOD。

#include <Ntifs.h>
#include <ntddk.h>
#include <WinDef.h>
void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {
UNREFERENCED_PARAMETER(DriverObject);
DbgPrint("Sample driver Unload calledn");
}

extern "C"
NTSTATUS
DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(RegistryPath);
DriverObject->DriverUnload = SampleUnload;
DbgPrint("Sample driver Load calledn");
PEPROCESS EP;
if (::PsLookupProcessByProcessId(::PsGetCurrentProcessId(), &EP) == STATUS_INVALID_PARAMETER) {
DbgPrint("Can't get EPROCESS");
return STATUS_INVALID_PARAMETER;
}
LIST_ENTRY list_entry = *((LIST_ENTRY*)(LPBYTE)EP + 0x448);
UCHAR* fileName;
fileName = ((UCHAR*)(LPBYTE)list_entry.Flink - 0x448 + 0x5a8);
for (int i = 0; i < 15; i++)
DbgPrint("%u" , fileName[i]);
DbgPrint("Finish");
return STATUS_SUCCESS;
}

在EPROCESS结构中，在0x448偏移中存在LIST_ENTRY对象。所以我创建了一个LIST_ENTRY对象，并将其分配给EPROCESS + 0x448的地址，然后将0x5a8-0x448添加到LIST_ENTRY.FLINK。假设在0x5a8偏移中得到ImageFileName数组。

但由于某种原因，它不起作用。

Answer 1

代码中有多个无意义的强制转换：

*((LIST_ENTRY*)(LPBYTE)EP + 0x448);

和

((UCHAR*)(LPBYTE)list_entry.Flink - 0x448 + 0x5a8);

这意味着，例如，将EP(而不是它的地址(转换为字节指针，然后(由于强制转换具有从右到左的关联性(立即忘记转换为字节指示器，而是转换为LIST_ENTRY*。然后，在犹豫使用哪种类型时，对LIST_ENTRY对象执行指针运算。即0x448 * sizeof(LIST_ENTRY)字节。

我猜你真的想这么做：

LPBYTE lpb = (LPBYTE)&EP + 0x448;
LIST_ENTRY list_entry = *(LIST_ENTRY*)lpb;

不过，这可能是一个严格的别名冲突错误。或者是对齐错误。