Получить список процессов

[l_sunny]

Есть задача определить по имени процесса его ProсessID (конкретно для csrss.exe), как я понимаю, нужно получить список всех процессов в системе и уже там искать. Вроде как должно быть всё просто, но для ядра не нашёл функций вроде NtQuerySystemInformation(). Может кто подскажет?

[Ochkarik]

Using Nt and Zw Versions of the Native System Services Routines

[resource]

но для ядра не нашёл функций вроде NtQuerySystemInformation()

Уж не буду спрашивать где искал. NtQuerySystemInformation (и даже ZwQuerySystemInformation) экспортируется ядром.

[x64]

...конкретно для csrss.exe...

Зачем это?

[Алексей++]

это известный вирус ) Я тоже такой гонял как-то на одной машине. Вредная сволочь, антивирусы не видели в упор, лечить надо было руками

[Ochkarik]

наверное    хочет)

Леш, диспечер задач открой, он у тебя тоже установлен)))))

[Алексей++]

Так, попутал ) Там было csrsc.exe

[l_sunny]

Да, действительно можно использовать NtQuerySystemInformation в ядре, хотя в заголовочных файлах для ядра её нет. А надо всё это для того, чтобы в контексте csrss.exe получить KeServiceDescriptorTableShadow.

[zubr]

NtQuerySystemInformation ранее была недокументированной функцией. Но по крайней мере с MSDN2008 она уже документируется  у Microsoft.

[x64]

А надо всё это для того, чтобы в контексте csrss.exe получить KeServiceDescriptorTableShadow.

Тебе это в ядре надо? Это делается по-другому, через дизасм экспортов ядра, например, KeAddSystemServiceTable(). А если в режиме пользователя надо и если не малваре пишешь, тогда ещё проще, используя Debug Help API выкачиваешь символы с сайта Microsoft для данного ядра и в них уже ищешь RVA символа "KeServiceDescriptorTableShadow", потом добавить базу ядра и получишь VA указателя на таблицу.

[l_sunny]

А надо всё это для того, чтобы в контексте csrss.exe получить KeServiceDescriptorTableShadow.

Тебе это в ядре надо? Это делается по-другому, через дизасм экспортов ядра, например, KeAddSystemServiceTable(). А если в режиме пользователя надо и если не малваре пишешь, тогда ещё проще, используя Debug Help API выкачиваешь символы с сайта Microsoft для данного ядра и в них уже ищешь RVA символа "KeServiceDescriptorTableShadow", потом добавить базу ядра и получишь VA указателя на таблицу.

Я немного не то сказал, лезть в контекст csrss.exe нужно чтобы сделать подмену функций из KeServiceDescriptorTableShadow на свои. В контексте ядра случается BDOS при попытке даже прочитать содержимое KeServiceDescriptorTableShadow->win32k.ServiceTable[function_id], нужно лезть в контекст "графического" приложения.



Добавлено через 8 минут и 39 секунд:

NtQuerySystemInformation ранее была недокументированной функцией. Но по крайней мере с MSDN2008 она уже документируется  у Microsoft.

Да, она документирована, но только для UserMode. А в WDK (Built on December 01, 2009) её нет, соответственно и в заголовочных файлах, используемых для компиляции драйверов, её тоже нет. Если подключать ntdll.h, то куча ошибок вываливает.

[x64]

...лезть в контекст csrss.exe нужно чтобы сделать подмену функций из KeServiceDescriptorTableShadow на свои.

Ясно.
Ну тогда, в общем-то, уже всё выше сказали.
Тебе нужна ZwQuerySystemInformation(), затем PsLookupProcessByProcessId(), ну и потом аттач к процессу.