从FILE_OBJECT里获取完整NT路径和DOS路径

原作者：Tesla.Angela

链接：http://www.m5home.com/bbs/thread-8896-1-1.html

众所周知在FILE_OBJECT.FileName的路径是不带盘符的，于是网上各种QUICK AND DIRTY的代码就干脆直接从FileName里取得“无头路径”。
这种恶心的做法自然是要不得的，现在分享一下从这个结构体里取完整路径的方法。区区40行代码（还包括空行和注释），即可支持XP到WIN10。

本帖隐藏的内容

1. //通过FILE_OBJECT拿到文件名
   
2. BOOLEAN QueryFileObjectNtName(PFILE_OBJECT pFileObject, PWCHAR *OutputBufferFreeByCaller)
   
3. {
   
4.         NTSTATUS status;
   
5.         ULONG returnedLength;
   
6.         BOOLEAN foundCompleteName = FALSE;
   
7.         PUNICODE_STRING pObjectName = NULL;
   
8.         status = ObQueryNameString(pFileObject, (POBJECT_NAME_INFORMATION)pObjectName, 0, &returnedLength );
   
9.         if(status == STATUS_INFO_LENGTH_MISMATCH)
   
10.         {
    
11.                 pObjectName = ExAllocatePoolWithTag(PagedPool, returnedLength, 'XXOO');
    
12.                 status = ObQueryNameString(pFileObject, (POBJECT_NAME_INFORMATION)pObjectName, returnedLength, &returnedLength );
    
13.                 if(NT_SUCCESS(status))
    
14.                 {
    
15.                         *OutputBufferFreeByCaller = ExAllocatePool(PagedPool,pObjectName->Length+2);
    
16.                         RtlZeroMemory(*OutputBufferFreeByCaller,pObjectName->Length+2);
    
17.                         memcpy(*OutputBufferFreeByCaller,pObjectName->Buffer,pObjectName->Length);
    
18.                         foundCompleteName = TRUE;
    
19.                 }
    
20.                 ExFreePoolWithTag(pObjectName, 'XXOO');
    
21.         }
    
22.         return foundCompleteName;
    
23. }
    
24. 
    
25. //通过FILE_OBJECT拿到文件名
    
26. BOOLEAN QueryFileObjectDosName(PFILE_OBJECT pFileObject, PWCHAR *OutputBufferFreeByCaller)
    
27. {
    
28.         UNICODE_STRING volumeDosName = {0};
    
29.         //初始化输出路径
    
30.         *OutputBufferFreeByCaller = ExAllocatePool(PagedPool, pFileObject->FileName.Length+32);
    
31.         RtlZeroMemory(*OutputBufferFreeByCaller, pFileObject->FileName.Length+32);
    
32.         //取得盘符DOS名
    
33.         RtlInitEmptyUnicodeString(&volumeDosName,NULL,0);
    
34.         if(!NT_SUCCESS(IoVolumeDeviceToDosName(pFileObject->DeviceObject, &volumeDosName)))
    
35.                 return FALSE;
    
36.         memcpy(*OutputBufferFreeByCaller, volumeDosName.Buffer, volumeDosName.Length);
    
37.         //连接文件名
    
38.         memcpy((PUCHAR)*OutputBufferFreeByCaller + volumeDosName.Length, pFileObject->FileName.Buffer, pFileObject->FileName.Length);
    
39.         return TRUE;
    
40. }

复制代码

不知道啥时候这段代码会出现在某些“大牛”的工程里然后标为“原创”。哈哈。

最后补充一下：这个pFileObject 的获取

可以看我的另一篇文章

NT5/NT6上的获取进程全路径

http://blog.csdn.net/zhuhuibeishadiao/article/details/51136650  

也可以参考以下链接 第八个男人 很难访问 赶紧备份下

链接：http://www.debugman.com/archiver/tid/4223 （我的第八个男人啊~~~）

论坛 › Native Code 综合讨论 › EPROCESS获取FileObject

JeTus 发表于 2010-1-2 13:44:07

EPROCESS获取FileObject

1，通过PsGetCurrentProcess获取EPROCESS，EPROCESS->SectionObject->Segment->ControlArea->FileObject，不过貌似wdk的EPROCESS被定义成了KPROCESS，这个EPROCESS的结构就不一样了；
2，通过获取process的Handle，然后调用ObReferenceObjectByHandle， ObjectType 填写IoFileObjectType，然后获取其FileObject；

目前只想到上面两种方法，不知道还有没有其他更简单点的办法。
PS：用的框架是文件过滤驱动。

先谢谢了

JeTus 发表于 2010-1-2 14:18:26

写了验证一下，第二个方法好像行不通，不知道是不是process的handle不能用IoFileObjectType来获取FileObject。
第一个方法因为没有wdk定义的结构体，暂时不想使用哪个方法。

MJ0011 发表于 2010-1-2 15:05:29

ZwQueryInformationProcess, ZwCreateFile , ObReferenceObjectByHandle

JeTus 发表于 2010-1-2 16:49:20

谢谢MJ。
网上找的一段代码，贴出来留给后面的同学看看。

// 注: 当函数返回TRUE时，参数pImageName所指向的 PANSI_STRING 对象需要用RtlFreeAnsiString()释放。

// 否则，标记为 "Strg" 的内存池会产生泄露。

typedef NTSTATUS (*QUERY_INFO_PROCESS) (
    __in HANDLE ProcessHandle,
    __in PROCESSINFOCLASS ProcessInformationClass,
    __out_bcount(ProcessInformationLength) PVOID ProcessInformation,
    __in ULONG ProcessInformationLength,
    __out_opt PULONG ReturnLength
    ); 

QUERY_INFO_PROCESS ZwQueryInformationProcess;


#define ProcessImageFileName 27

BOOLEAN GetProcessImageName(PANSI_STRING pImageName)
{
    KIRQL        CurIRQL ;
    NTSTATUS     status;
    ULONG        returnedLength;
    ULONG        bufferLength;
    PVOID        buffer;
    PUNICODE_STRING imageName;
    BOOLEAN      bRet = FALSE ;
    
    PAGED_CODE(); // this eliminates the possibility of the IDLE Thread/Process

    CurIRQL = KeGetCurrentIrql() ;
    DbgPrint ("Current IRQL is %d\\r\\n", CurIRQL) ;
    if (PASSIVE_LEVEL != CurIRQL)
    {   
        return FALSE ;
    }

    try
    {
        if ( ! MmIsAddressValid (pImageName))
        {
            return FALSE ;
        }

        pImageName->Length = 0 ;
        pImageName->MaximumLength = 0 ;
        pImageName->Buffer = NULL ;
    }
    except (EXCEPTION_EXECUTE_HANDLER)
    {
        return FALSE ;
    }

    if (NULL == ZwQueryInformationProcess) {

        UNICODE_STRING routineName;

        RtlInitUnicodeString(&routineName, L"ZwQueryInformationProcess");

        ZwQueryInformationProcess = 
               (QUERY_INFO_PROCESS) MmGetSystemRoutineAddress(&routineName);

        if (NULL == ZwQueryInformationProcess) {

            DbgPrint("Cannot resolve ZwQueryInformationProcess\\n");
            return FALSE ;
        }
    }
    //
    // Step one - get the size we need
    //
    status = ZwQueryInformationProcess( NtCurrentProcess(), 
                                        ProcessImageFileName,
                                        NULL, // buffer
                                        0, // buffer size
                                        &returnedLength);

    if (STATUS_INFO_LENGTH_MISMATCH != status) {

        return FALSE;

    }

    //
    // Is the passed-in buffer going to be big enough for us?  
    // This function returns a single contguous buffer model...
    //
    bufferLength = returnedLength - sizeof(UNICODE_STRING);

    //
    // If we get here, the buffer IS going to be big enough for us, so 
    // let's allocate some storage.
    //
    buffer = ExAllocatePoolWithTag(PagedPool, returnedLength, 'ipgD');

    if (NULL == buffer) {
        return FALSE ;        
    }

    try
    {
        //
        // Now lets go get the data
        //
        status = ZwQueryInformationProcess( NtCurrentProcess(), 
                    ProcessImageFileName,
                    buffer,
                    returnedLength,
                    &returnedLength);

        if (NT_SUCCESS(status)) {
            //
            // Ah, we got what we needed
            //
            imageName = (PUNICODE_STRING) buffer;

            //       RtlCopyUnicodeString(ProcessImageName, imageName);
            //RtlZeroMemory (pBuffer, cbBuffer) ;
            //if (((size_t)-1) != wcstombs (pBuffer, imageName->Buffer, cbBuffer))
            //{
            // bRet = TRUE ;
            //}

            //KdPrint (("Current ProcessImageFileName: \\"%s\\"\\r\\n", pBuffer)) ;

            if (STATUS_SUCCESS != RtlUnicodeStringToAnsiString (pImageName, imageName, TRUE))
            {
                bRet = FALSE ;
                KdPrint (("Current ProcessImageFileName: Unknow\\r\\n")) ;
            }
            else
            {
                bRet = TRUE ;
                KdPrint (("Current ProcessImageFileName: \\"%s\\"\\r\\n", pImageName->Buffer)) ;
            }
        }
    }
    except (EXCEPTION_EXECUTE_HANDLER)
    {
        bRet = FALSE ;
    }

    //
    // free our buffer
    //

    ExFreePool(buffer);

    //
    // And tell the caller what happened.
    //    
    return bRet ;    
}