DriverEntry来电者

Question

我正在编写我的第一个设备驱动程序。

我想弄清楚，哪个进程生成了一个给定的IRP。

Obj->MajorFunction[IRP_MJ_DIRECTORY_CONTROL] = dirCtl;

NTSTATUS dirCtl(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);

鉴于DeviceObject / Irp，我如何找出尝试查询目录的用户域进程？ （例如explorer.exe）

Answer 1

大部分时间PsGetCurrentProcessId()都会起作用，因为内核实际上驻留在进程的内存空间中。