Windows内核进程枚举与EPROCESS结构.pdfVIP

内核枚举进程使用PspCidTable这个未公开函数，其最大优势在于能获取进程的EPROCESS地址。由于

是未公开函数，我们需要通过间接方式调用——先使用PsLookupProcessByProce函数查询进程的

EPROCESS，若PsLookupProcessByProce返回失败则证明进程不存在，成功则通过DbgPrint将

EPROCESS地址、PID、PPID及进程名等信息打印到屏幕。

内核枚举进程：进程即运行中的程序，每个进程在内核中都有一个名为EPROCESS的结构体记录其详细信

息（包括进程名、PID、PPID及路径等）。应用层枚举通常只需列出进程编号，但在内核层需要列举其

EPROCESS地址。

内核枚举进程使用PspCidTable这个未公开的函数，其最大优势在于能获取进程的EPROCESS地址。由于

该函数未公开，我们需要间接调用它——通过PsLookupProcessByProce函数查询进程的

EPROCESS。若PsLookupProcessByProce返回失败，则证明该进程不存在；若成功返回，则将

EPROCESS、PID、PPID及进