如何识别 Windows 10 中的内核进程（使用保护环 0 运行的进程）？

Question

我们或 Windows 如何识别或区分内核进程和用户/应用程序进程。基于进程的元数据、进程表中的标志或其他。

Answer 1

所有驱动程序与内核的其余部分一起在单个内核进程中运行。

进程 id 0 是“空闲进程”，进程 id 4（在 XP 和更高版本上）是内核“进程”。如果您处于内核模式，您可能可以通过查看KPROCESS 来检测各种类型（跨版本不稳定）。您不能在用户模式下OpenProcess 内核进程，因为它不是正常进程。

如果您想检测Pico/Drawbridge 进程，我已经看到声称SYSTEM_PROCESS_INFORMATION::HandleCount 在其中为0。

我会推荐 Windows Internals 书籍以获取有关 Windows 内核设计的更多信息。