即使pid错误，PsLookupProcessByProcessId也会返回STATUS_SUCCESS

。

PsLookupProcessByProcessId是Windows操作系统中的一个函数，用于根据进程ID查找进程对象。它的作用是根据给定的进程ID，在系统的进程列表中查找对应的进程对象，并返回该进程对象的指针。

无论传入的进程ID是否存在或者有效，PsLookupProcessByProcessId函数都会返回STATUS_SUCCESS。这是因为该函数的设计初衷是为了提供一种快速的进程查找机制，即使传入的进程ID无效，函数也会返回成功的状态码，而不是报错或者返回错误码。

这种设计可以避免在进程查找过程中产生不必要的错误处理逻辑，提高了函数的执行效率。但是需要注意的是，虽然函数返回成功的状态码，但是返回的进程对象指针可能为空，表示未找到对应的进程对象。

在实际应用中，可以根据PsLookupProcessByProcessId函数的返回值来判断进程是否存在，如果返回的进程对象指针为空，则说明该进程ID无效或者对应的进程已经退出。可以根据具体的业务需求进行进一步的处理。

腾讯云相关产品和产品介绍链接地址：

云服务器（CVM）：提供弹性计算能力，满足各类业务需求。详情请参考：https://cloud.tencent.com/product/cvm
云原生容器服务（TKE）：提供高度可扩展的容器化应用管理平台。详情请参考：https://cloud.tencent.com/product/tke
云数据库 MySQL 版（CDB）：提供稳定可靠的云数据库服务。详情请参考：https://cloud.tencent.com/product/cdb
云安全中心（SSC）：提供全面的云安全解决方案，保护云上资源安全。详情请参考：https://cloud.tencent.com/product/ssc

相关·内容

驱动开发：内核中进程与句柄互转

PID，否则返回0。...在调用该函数时，如果ProcessInformation缓冲区的大小小于需要返回的信息大小，则该函数将返回STATUS_INFO_LENGTH_MISMATCH错误代码，并将所需信息的大小存储在ReturnLength...ZwQueryInformationProcess函数的返回值为NTSTATUS类型，表示函数执行的结果状态。如果函数执行成功，则返回STATUS_SUCCESS，否则返回其他错误代码。...转换为EProcess结构: 通过PsLookUpProcessByProcessId函数，该函数传入一个PID则可获取到该PID的EProcess结构体，具体转换实现方法如下所示；本段代码展示了如何使用...{ PEPROCESS pEprocess; NTSTATUS status = PsLookupProcessByProcessId((HANDLE)Pid, &pEprocess); if

2063 0

4.1 Windows驱动开发：内核中进程与句柄互转

PID，否则返回0。...在调用该函数时，如果ProcessInformation缓冲区的大小小于需要返回的信息大小，则该函数将返回STATUS_INFO_LENGTH_MISMATCH错误代码，并将所需信息的大小存储在ReturnLength...ZwQueryInformationProcess函数的返回值为NTSTATUS类型，表示函数执行的结果状态。如果函数执行成功，则返回STATUS_SUCCESS，否则返回其他错误代码。...PID，输出效果图如下所示； 4.1.2 进程PID转换为EProcess结构通过PsLookUpProcessByProcessId函数，该函数传入一个PID则可获取到该PID的EProcess结构体...，具体转换实现方法如下所示；本段代码展示了如何使用Windows内核API函数PsLookupProcessByProcessId将一个PID（Process ID）转换为对应的EProcess结构体

1852 0

4.1 Windows驱动开发：内核中进程与句柄互转

PID，否则返回0。...在调用该函数时，如果ProcessInformation缓冲区的大小小于需要返回的信息大小，则该函数将返回STATUS_INFO_LENGTH_MISMATCH错误代码，并将所需信息的大小存储在ReturnLength...ZwQueryInformationProcess函数的返回值为NTSTATUS类型，表示函数执行的结果状态。如果函数执行成功，则返回STATUS_SUCCESS，否则返回其他错误代码。...PID转换为EProcess结构通过PsLookUpProcessByProcessId函数，该函数传入一个PID则可获取到该PID的EProcess结构体，具体转换实现方法如下所示；本段代码展示了如何使用...PEPROCESS pEprocess; NTSTATUS status = PsLookupProcessByProcessId((HANDLE)Pid, &pEprocess); if

2593 0

驱动开发：内核中进程与句柄互转

在调用该函数时，如果ProcessInformation缓冲区的大小小于需要返回的信息大小，则该函数将返回STATUS_INFO_LENGTH_MISMATCH错误代码，并将所需信息的大小存储在ReturnLength...ZwQueryInformationProcess函数的返回值为NTSTATUS类型，表示函数执行的结果状态。如果函数执行成功，则返回STATUS_SUCCESS，否则返回其他错误代码。...STATUS_SUCCESS;}编译并运行如上这段代码片段，将把进程PID转为HANDLE句柄，再通过句柄将其转为PID，输出效果图如下所示；图片进程PID转换为EProcess结构: 通过PsLookUpProcessByProcessId...函数，该函数传入一个PID则可获取到该PID的EProcess结构体，具体转换实现方法如下所示；本段代码展示了如何使用Windows内核API函数PsLookupProcessByProcessId将一个...pEprocess;NTSTATUS status = PsLookupProcessByProcessId((HANDLE)Pid, &pEprocess);if (status == STATUS_SUCCESS

3701 0

驱动开发：内核中枚举进线程与模块

函数查到进程的EPROCESS，如果PsLookupProcessByProcessId返回失败，则证明此进程不存在，如果返回成功则把EPROCESS、PID、PPID、进程名等通过DbgPrint打印到屏幕上...函数查到进程的EPROCESS，如果PsLookupProcessByProcessId返回失败，则证明此进程不存在，如果返回成功则把EPROCESS、PID、PPID、进程名等通过DbgPrint打印到屏幕上...EPROCESS，失败返回NULL PEPROCESS LookupProcess(HANDLE Pid) { PEPROCESS eprocess = NULL; if (NT_SUCCESS(PsLookupProcessByProcessId...(Pid, &eprocess))) return eprocess; else return NULL; } //根据线程ID返回线程ETHREAD，失败返回NULL PETHREAD LookupThread...EPROCESS，失败返回NULL PEPROCESS LookupProcess(HANDLE Pid) { PEPROCESS eprocess = NULL; if (NT_SUCCESS(PsLookupProcessByProcessId

4932 0

驱动开发：内核中枚举进线程与模块

函数查到进程的EPROCESS，如果PsLookupProcessByProcessId返回失败，则证明此进程不存在，如果返回成功则把EPROCESS、PID、PPID、进程名等通过DbgPrint打印到屏幕上...函数查到进程的EPROCESS，如果PsLookupProcessByProcessId返回失败，则证明此进程不存在，如果返回成功则把EPROCESS、PID、PPID、进程名等通过DbgPrint打印到屏幕上...EPROCESS，失败返回NULLPEPROCESS LookupProcess(HANDLE Pid){PEPROCESS eprocess = NULL;if (NT_SUCCESS(PsLookupProcessByProcessId...(Pid, &eprocess)))return eprocess;elsereturn NULL;}//根据线程ID返回线程ETHREAD，失败返回NULLPETHREAD LookupThread(...EPROCESS，失败返回NULLPEPROCESS LookupProcess(HANDLE Pid){PEPROCESS eprocess = NULL;if (NT_SUCCESS(PsLookupProcessByProcessId

5102 0

windows内核代码之进程操作

(CPU结构体 KPCR)等等.不过兼容性都是不太好.另一种方法是枚举句柄表 PspCidTable里面有记录EPROCESS 也能检查出断链等隐藏的进程.不过缺点就是....PsLookUpProcessByProcessId 根据进程Pid返回进程的EPROCESS ObDereferenceObject 返回的EPROCESS会被引用一次,进行解引用....) { //根据PID 返回PEPROCESS PEPROCESS pEpro = NULL; NTSTATUS ntStatus = STATUS_UNSUCCESSFUL;...) { //根据PID 返回PEPROCESS PEPROCESS pEpro = NULL; NTSTATUS ntStatus = STATUS_UNSUCCESSFUL;...) { //根据PID 返回PEPROCESS PEPROCESS pEpro = NULL; NTSTATUS ntStatus = STATUS_UNSUCCESSFUL;

3.1K1 0

驱动开发：内核读写内存多级偏移

接下来，函数使用PsLookupProcessByProcessId函数查找目标进程并返回其PEPROCESS结构体。...最后，函数将基地址指向最终变量的地址，读取变量的值，并返回。如下案例所示，用户传入进程基址以及offset偏移值时，只需要动态计算出该偏移地址，并与基址相加即可得到动态地址。...= 0; LPCVOID pbase = (LPCVOID)Base; LPVOID rbuffer = (LPVOID)&Value; PEPROCESS Process; PsLookupProcessByProcessId...PVOID buff1; VOID *buff2; int MemoryNumerical = 0; KAPC_STATE KAPC = { 0 }; PEPROCESS Process; PsLookupProcessByProcessId...Value = 0; LPCVOID pbase = (LPCVOID)Base; LPVOID rbuffer = (LPVOID)&Value; PEPROCESS Process; PsLookupProcessByProcessId

1552 0

3.2 Windows驱动开发：内核CR3切换读写内存

当进程切换时，操作系统会修改CR3寄存器的值，从而让CPU使用新的页目录表来完成虚拟地址的翻译。利用CR3寄存器可以实现强制读写特定进程的内存地址，这种操作需要一定的权限和技术知识。...; } 以打开Tutorial-i386.exe为例，打开后即可返回他的Proces，当然也可以直接传入进程PID同样可以得到进程Process结构地址。...// 根据PID打开进程 PEPROCESS Peprocess = NULL; DWORD PID = 6672; NTSTATUS nt = PsLookupProcessByProcessId((...打开进程 PEPROCESS Peprocess = NULL; DWORD PID = 6672; NTSTATUS nt = PsLookupProcessByProcessId...打开进程 PEPROCESS Peprocess = NULL; DWORD PID = 6672; NTSTATUS nt = PsLookupProcessByProcessId

6411 0

3.1 Windows驱动开发：内核远程堆分配与销毁

()获取到，该函数接收一个进程PID并将此PID转为EProcess结构，函数定义如下；NTSTATUS PsLookupProcessByProcessId( [in] HANDLE ProcessId...得到进程EProcess Status = PsLookupProcessByProcessId((HANDLE)ProcessPid, &pEProcess); if (!...&Length, MEM_COMMIT, PAGE_EXECUTE_READWRITE); RtlZeroMemory(BaseAddress, Length); // 返回内存地址...得到进程EProcess Status = PsLookupProcessByProcessId((HANDLE)ProcessPid, &pEProcess); if (!...&Length, MEM_COMMIT, PAGE_EXECUTE_READWRITE); RtlZeroMemory(BaseAddress, Length); // 返回内存地址

2086 0

驱动开发：内核CR3切换读写内存

在读写进程之前需要先找到进程的PEPROCESS结构，查找结构的方法也很简单，依次遍历进程并对比进程名称即可得到。...;}以打开Tutorial-i386.exe为例，打开后即可返回他的Proces，当然也可以直接传入进程PID同样可以得到进程Process结构地址。...// 根据PID打开进程PEPROCESS Peprocess = NULL;DWORD PID = 6672;NTSTATUS nt = PsLookupProcessByProcessId((HANDLE...打开进程PEPROCESS Peprocess = NULL;DWORD PID = 6672;NTSTATUS nt = PsLookupProcessByProcessId((HANDLE)PID,...打开进程PEPROCESS Peprocess = NULL;DWORD PID = 6672;NTSTATUS nt = PsLookupProcessByProcessId((HANDLE)PID,

7473 0

驱动开发：内核读写内存多级偏移

接下来，函数使用PsLookupProcessByProcessId函数查找目标进程并返回其PEPROCESS结构体。...最后，函数将基地址指向最终变量的地址，读取变量的值，并返回。如下案例所示，用户传入进程基址以及offset偏移值时，只需要动态计算出该偏移地址，并与基址相加即可得到动态地址。...= 0;LPCVOID pbase = (LPCVOID)Base;LPVOID rbuffer = (LPVOID)&Value;PEPROCESS Process;PsLookupProcessByProcessId...\n", Offset[3]);DbgPrint("[ReadMemory] 读取偏移数据: %d \n", read);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS...len){INT64 Value = 0;LPCVOID pbase = (LPCVOID)Base;LPVOID rbuffer = (LPVOID)&Value;PEPROCESS Process;PsLookupProcessByProcessId

2462 0

驱动开发：内核远程堆分配与销毁

()获取到，该函数接收一个进程PID并将此PID转为EProcess结构，函数定义如下；NTSTATUS PsLookupProcessByProcessId( [in] HANDLE ProcessId...= PsLookupProcessByProcessId((HANDLE)ProcessPid, &pEProcess);if (!...&BaseAddress, 0, &Length, MEM_COMMIT, PAGE_EXECUTE_READWRITE);RtlZeroMemory(BaseAddress, Length);// 返回内存地址...= PsLookupProcessByProcessId((HANDLE)ProcessPid, &pEProcess);if (!...&BaseAddress, 0, &Length, MEM_COMMIT, PAGE_EXECUTE_READWRITE);RtlZeroMemory(BaseAddress, Length);// 返回内存地址

2503 0

驱动开发：内核远程堆分配与销毁

()获取到，该函数接收一个进程PID并将此PID转为EProcess结构，函数定义如下； NTSTATUS PsLookupProcessByProcessId( [in] HANDLE ProcessId...EProcess Status = PsLookupProcessByProcessId((HANDLE)ProcessPid, &pEProcess); if (!...BaseAddress, 0, &Length, MEM_COMMIT, PAGE_EXECUTE_READWRITE); RtlZeroMemory(BaseAddress, Length); // 返回内存地址...EProcess Status = PsLookupProcessByProcessId((HANDLE)ProcessPid, &pEProcess); if (!...BaseAddress, 0, &Length, MEM_COMMIT, PAGE_EXECUTE_READWRITE); RtlZeroMemory(BaseAddress, Length); // 返回内存地址

2723 0

delphi版插apc杀进程驱动源码

//DbgPrint(pnProcessName.Buffer); if (_stricmp(pnProcessName.Buffer, 'taskmgr.exe') = 0) then begin PsLookupProcessByProcessId...DispatchCreateClose(p_DeviceObject: PDEVICE_OBJECT; p_Irp: PIRP): NTSTATUS; stdcall; ///对打开或关闭请求的响应 ,这里就是简单的返回一个成功...: ulong); var st: NTSTATUS; eprocess: pvoid; begin st := STATUS_SUCCESS; eprocess := nil; DbgPrint('PID...is:%d', pid); if pid=0 then exit; st := PsLookupProcessByProcessId(pid, eprocess); if (NT_SUCCESS(st...; ///返回STATUS_SUCCESS; end else ///如果创建符号链接不成功 begin DbgPrint('Create SymbolicLink Failed'); ///输出调试字符串

1.1K0 0

2.1 Windows驱动开发：内核链表与结构体

EPROCESS结构体失败返回NULL PEPROCESS LookupProcess(HANDLE Pid) { PEPROCESS eprocess = NULL; NTSTATUS...Status = STATUS_UNSUCCESSFUL; Status = PsLookupProcessByProcessId(Pid, &eprocess); if (NT_SUCCESS...DbgPrint("hello lyshark \n"); GetAllProcess(); Driver->DriverUnload = UnDriver; return STATUS_SUCCESS...，可以通过定义一个结构体指针作为函数参数，将结构体指针作为函数返回值来实现。...返回结构体，则可以这样来写代码。

2336 0

驱动开发：内核中的链表与结构体

ntifs.h>#include extern PVOID PsGetProcessPeb(_In_ PEPROCESS Process);NTKERNELAPI NTSTATUS PsLookupProcessByProcessId...;UCHAR ProcessName[2048];DWORD Handle;LIST_ENTRY ListEntry;}ProcessList;// 根据进程ID返回进程EPROCESS结构体失败返回NULLPEPROCESS...LookupProcess(HANDLE Pid){PEPROCESS eprocess = NULL;NTSTATUS Status = STATUS_UNSUCCESSFUL;Status = PsLookupProcessByProcessId...;}运行后将可以在DbgView中看到输出的进程信息：图片如果需要返回一个结构体，则可以这样来写代码。...data->username);DbgPrint("password = %s \n", data->password);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS

4272 0

3.5 Windows驱动开发：应用层与内核层内存映射

如果复制过程中发生任何异常，函数将返回 STATUS_UNSUCCESSFUL。总的来说，这个函数是一个很好的实现，它遵循了内核驱动程序中的最佳实践，包括对内存的安全处理、分块复制、错误处理等。...这个函数也只能在内核态中调用。...如果分配失败，就需要将之前的操作撤销并返回错误状态。...拷贝完成后，函数解锁目标地址的MDL，并返回操作状态。...ZwAllocateVirtualMemory函数成功返回NT_SUCCESS，返回值为0，否则返回相应的错误代码。

3513 0

3.5 Windows驱动开发：应用层与内核层内存映射

如果复制过程中发生任何异常，函数将返回 STATUS_UNSUCCESSFUL。总的来说，这个函数是一个很好的实现，它遵循了内核驱动程序中的最佳实践，包括对内存的安全处理、分块复制、错误处理等。...这个函数也只能在内核态中调用。...如果分配失败，就需要将之前的操作撤销并返回错误状态。...STATUS_UNSUCCESSFUL; PEPROCESS eproc = NULL; KAPC_STATE kpc = { 0 }; __try { // HANDLE 进程PID...ZwAllocateVirtualMemory函数成功返回NT_SUCCESS，返回值为0，否则返回相应的错误代码。

4704 0

4.4 Windows驱动开发：内核监控进程与线程创建

参数ProcessId是新进程的PID（进程ID）。参数CreateInfo是一个指向一个PS_CREATE_NOTIFY_INFO结构的指针，该结构包含了有关新进程的详细信息。...回调函数应该在执行完后尽快返回，以避免对系统性能的影响。同时，回调函数不应该调用任何可能导致死锁或系统崩溃的函数。...进程监控的思路很简单，只需要在如上MyCreateProcessNotifyEx()这个自定义回调函数中进行改进即可，首先通过PsGetProcessImageFileName即将进程的PID转换为进程名...PsRemoveCreateThreadNotifyRoutine( _Inout_ PCREATE_THREAD_NOTIFY_ROUTINE NotifyRoutine ); 通过上述知识点的总结，相信你也可以很容易的编写处线程检测相关代码片段...(ProcessId, &eprocess); if (Create) { DbgPrint("线程TID: %1d --> 所属进程名: %s --> 进程PID: %1d

3682 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

即使pid错误，PsLookupProcessByProcessId也会返回STATUS_SUCCESS

相关·内容

驱动开发：内核中进程与句柄互转

4.1 Windows驱动开发：内核中进程与句柄互转

4.1 Windows驱动开发：内核中进程与句柄互转

驱动开发：内核中进程与句柄互转

驱动开发：内核中枚举进线程与模块

驱动开发：内核中枚举进线程与模块

windows内核代码之进程操作

驱动开发：内核读写内存多级偏移

3.2 Windows驱动开发：内核CR3切换读写内存

3.1 Windows驱动开发：内核远程堆分配与销毁

驱动开发：内核CR3切换读写内存

驱动开发：内核读写内存多级偏移

驱动开发：内核远程堆分配与销毁

驱动开发：内核远程堆分配与销毁

delphi版插apc杀进程驱动源码

2.1 Windows驱动开发：内核链表与结构体

驱动开发：内核中的链表与结构体

3.5 Windows驱动开发：应用层与内核层内存映射

3.5 Windows驱动开发：应用层与内核层内存映射

4.4 Windows驱动开发：内核监控进程与线程创建

扫码

相关资讯

热门标签

活动推荐

运营活动

社区

活动

资源

关于

腾讯云开发者

热门产品

热门推荐

更多推荐