如何从微型过滤器内核驱动程序获取当前进程映像路径？

Question

我想在我的微型过滤器内核驱动程序中获取当前进程路径。我可以使用PEPROCESS peProcess = IoGetCurrentProcess() 获取当前进程，并且可以使用ZwQueryInformationProcess 获取进程完整文件名（包含路径）。 但我只想获取路径（没有文件名）。 我使用 visualstudio 2019 和最新的 SDK/WDK。

Answer 1

可能是这样的：

ZwCreateFile(DesiredAccess=FILE_READ_ATTRIBUTES) → 文件句柄

https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/nf-ntifs-ntcreatefile

ZwQueryInformationFile(FileInformationClass=FileNameInformation) → FILE_NAME_INFORMATION 结构

https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/nf-ntifs-ntqueryinformationfile

"如果返回完整路径和文件名，字符串将开始 用一个反斜杠，不管它的位置。因此文件 C:\dir1\dir2\filename.ext 将显示为\dir1\dir2\filename.ext"

https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntifs/nf-ntifs-ntqueryinformationfile#remarks

（然后你通过找到最后一个反斜杠去掉叶子文件名。）

ZwClose(句柄)

https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/wdm/nf-wdm-zwclose