process isimleri

[Volkan Uzun]

selamlar
elimde çalışan bazı procesllerin idleri var ve bunların isimlerini bulmam gerekiyor.
openprocess ile açıp getmoduleinformation ile çoğunun isimlerini alıyorum ama
özellikle svchost.exe veya system tarafından çalıştırılan procesllerde muhtelemen access hatası aldığımdan bunlarım isimleri boş geliyor.
bu konuda bilgisi olan varmı

[Zerzevat Adam]

Euclides'in http://www.asmworm.com sitesinde KeenSense diye bir program var, ne kadar alakalı bilmiyorum ama...

Demek istediğim Euclides bu konuyla uğraştığı için belki sorunun cevabı onda vardır. ;)

[Volkan Uzun]

biliyorum msnde göremedim onu.
http://www.serbesttahta.com/blog/vblog.html daki april 06 daki uygulama için gerekli.

[Euclides]

KeenSense şöyle çalışıyor.
Process ImageName'i EPROCESS'dan alıyor. (bak: PsGetCurrentProcess,KeAttach,KeDetach)
Full Path'i ise, driver ZwOpenProcess ile process'i açıyor (bu levelde hiçbir engelleme ile karşılaşmıyor) bu handle'i programa post'luyor. Sonra standart psapi ile alıyor. Handle'in işi bitince tekrar driver'a yollanıyor. ZwClose ile kapatılıyor.
Benim kullandığım bu...

ama bildiğim kadarıyla Process'i token'i değiştirilerek normal programlarında açması sağlanabiliyormuş...