[原创]简单利用_CSR_PROCESS结构枚举出进程-逆向工程-看雪安全社区

# 引言
据微软公开文献解释到
 ![图片描述](upload/attach/202504/993779_2NVSEQ8YBBJSQW8.webp)
这种结构包含了特定于 Windows 子系统（Csrss）的进程信息。也就是说，只有 Windows 应用程序才有与之关联的结构（例如，会话管理器进程 Smss 就没有这样的结构）。
此外，由于每个会话都有其独立的 Windows 子系统实例，这些结构是由每个单独会话内的 Csrss 进程来维护的。
这个结构体在多个版本Windows更新中依旧很稳定

# 正文
既然微软提供了文献,那我们就可以利用其遍历进程
第一步 我们要了解_CSR_PROCESS结构从哪里得到?
根据资料中提到,其位于 CSRSRV.dll下的全局参数 "CsrRootProcess"

![图片描述](upload/attach/202504/993779_EKSBXMQKYVZPAK4.webp)

那么这个CsrRootProcess里面第一个值就是CSRSS进程的_CSR_PROCESS结构体,由此我们可以先附加上CSRSS进程,然后找出CSRSRV.dll模块,然后找到CsrRootProcess即可得到结构体

结构体内容如下:

```

// _CSR_NT_SESSION 结构体定义 (根据 WinDbg 输出)
typedef struct _CSR_NT_SESSION {
    /* +0x000 */ LIST_ENTRY SessionLink;      // 用于链接到全局 CSR 会话列表
    /* +0x010 */ ULONG      SessionId;        // NT 会话的 ID
    /* +0x014 */ LONG       ReferenceCount;   // CSRSS 内部对此结构的引用计数
    /* +0x018 */ STRING     RootDirectory;    // 会话相关的根目录信息 (可能是对象管理器路径)
    // 注意: STRING 结构本身大小是 16 字节 (在 64 位下，USHORT+USHORT+Padding+PCHAR)，
    // 所以下一个成员应该在 0x18 + 0x10 = 0x28 处开始 (如果还有其他成员)
} CSR_NT_SESSION, * PCSR_NT_SESSION;

// _CSR_PROCESS 结构体定义 (64位, 包含对 _CSR_NT_SESSION 的引用)
typedef struct _CSR_PROCESS {
    /* +0x000 */ CLIENT_ID ClientId;                 // 进程和初始线程的唯一标识符
    /* +0x010 */ LIST_ENTRY ListLink;                 // 用于链接到全局 CSR 进程列表
    /* +0x020 */ LIST_ENTRY ThreadList;               // 此进程内 CSR 线程 (_CSR_THREAD) 列表的头部
    /* +0x030 */ struct _CSR_NT_SESSION* NtSession;  // 指向关联的 NT 会话结构
    /* +0x038 */ HANDLE ClientPort;                 // 客户端连接到 CSRSS 的 LPC 端口句柄
    /* +0x040 */ PVOID ClientViewBase;             // 指向与客户端共享内存区域的基地址
    /* +0x048 */ PVOID ClientViewBounds;           // 共享内存区域的边界或大小信息
    /* +0x050 */ HANDLE ProcessHandle;              // CSRSS 持有的此客户端进程的句柄
    /* +0x058 */ ULONG SequenceNumber;             // CSRSS 分配的进程序列号
    /* +0x05c */ ULONG Flags;                      // 描述进程状态的标志位 (e.g., CSR_PROCESS_*)
    /* +0x060 */ ULONG DebugFlags;                 // 与调试相关的标志
    /* +0x064 */ LONG ReferenceCount;             // CSRSS 内部对此结构的引用计数 (进程本身的)
    /* +0x068 */ ULONG ProcessGroupId;             // 控制台进程组 ID
    /* +0x06c */ ULONG ProcessGroupSequence;       // 进程在组内的序列号
    /* +0x070 */ ULONG LastMessageSequence;        // 最后处理的消息序列号
    /* +0x074 */ ULONG NumOutstandingMessages;     // 未完成（待回复）的消息数
    /* +0x078 */ ULONG ShutdownLevel;              // 进程的关机级别/优先级
    /* +0x07c */ ULONG ShutdownFlags;              // 关机相关的标志
    /* +0x080 */ LUID Luid;                       // 进程所属的登录会话 LUID
    /* +0x088 */ PVOID ServerDllPerProcessData[1]; // 指向服务器 DLL 特定于此进程的数据的指针数组（或指针）
} CSR_PROCESS, * PCSR_PROCESS;

```

通过获取特定结构体，我们可以访问所需的信息。例如，对于存储在每个进程中的链表，其位置处于每个 _CSR_PROCESS 结构体的 0x10 偏移处。每个 CSRSS 实例内部都维护着这样一个结构体链表。因此，要获取这些信息，您需要遍历所有 CSRSS 实例中的结构体链表。如果有多个 CSRSS.exe 进程，则对每个进程重复这一操作流程。整个过程相对直接。

# 总结
_CSR_PROCESS结构体用于存储特定于Windows应用程序的进程信息，包括客户端ID、线程列表、关联的NT会话结构指针等重要成员。该结构体位于CSRSRV.dll模块下的全局参数CsrRootProcess中，其中第一个值即为CSRSS进程的_CSR_PROCESS结构体。
通过附加到CSRSS进程，并定位CSRSRV.dll模块中的CsrRootProcess，即可获取到_CSR_PROCESS结构体，从而开始遍历与之相关的进程信息。
_CSR_NT_SESSION结构体则包含了关于NT会话的信息，如会话ID、引用计数以及根目录信息等。此结构体与_CSR_PROCESS结构体相关联，共同维护了Windows子系统的会话管理信息。
遍历所有由Csrss实例维护的进程链表时，需注意对于每个Csrss.exe实例重复这一过程，特别是当存在多个这样的实例时。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#调试逆向 #系统底层 #软件保护 #加密算法

最新回复 (48) 1 2 ▶
mb_izgpiqsh 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 5 粉丝 0 关注私信	mb_izgpiqsh 2 楼 Make 2025-4-3 02:44 0
yaoguen 雪币： 500 活跃值： (6825) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 153 粉丝 1 关注私信	yaoguen 3 楼多谢分享 2025-4-3 07:46 0
apath 雪币： 5593 活跃值： (5380) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 76 粉丝 4 关注私信	apath 4 楼多谢分享 2025-4-3 09:24 0
Roger 雪币： 4869 活跃值： (4606) 能力值： ( LV8，RANK：147 ) 在线值：发帖 6 回帖 132 粉丝 138 关注私信	Roger 1 5 楼 mark 2025-4-3 10:19 0
mb_tnqoqsdv 雪币： 0 活跃值： (2154) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 61 粉丝 1 关注私信	mb_tnqoqsdv 6 楼学习分析 2025-4-4 22:50 0
空处雪币： 11957 活跃值： (7965) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 67 粉丝 2 关注私信	空处 7 楼多谢分享 2025-4-5 07:53 0
linghaien 雪币： 6382 活跃值： (5156) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 84 粉丝 6 关注私信	linghaien 8 楼学习分析 2025-4-5 13:05 0
mb_fzwldzav 雪币： 453 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 69 粉丝 0 关注私信	mb_fzwldzav 9 楼 mark 2025-4-5 20:54 0
mb_cvuzkpdk 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_cvuzkpdk 10 楼 mark 2025-4-7 10:17 0
covccc 雪币： 182 活跃值： (563) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 1 关注私信	covccc 11 楼 mark 2025-4-8 18:00 0
のばら雪币： 848 活跃值： (4470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 149 粉丝 10 关注私信	のばら 12 楼 mark 2025-4-8 22:04 0
mb_emstadsv 雪币： 24 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	mb_emstadsv 13 楼 mark 2025-4-9 13:49 0
fanfall 雪币： 659 活跃值： (1555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	fanfall 14 楼 mark 2025-4-9 14:10 0
dayang 雪币： 220 活跃值： (1291) 能力值： ( LV2，RANK：10 ) 在线值：发帖 38 回帖 954 粉丝 1 关注私信	dayang 15 楼又多了1种方式， 2025-4-10 19:11 0
TkBinary 雪币： 7311 活跃值： (13389) 能力值： (RANK：385 ) 在线值：发帖 26 回帖 533 粉丝 250 关注私信	TkBinary 5 16 楼谢谢研究下. 2025-4-10 19:55 0
mb_cuitmohb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 60 粉丝 0 关注私信	mb_cuitmohb 17 楼 mark 2025-4-10 20:18 0
如此美丽。雪币： 2 活跃值： (693) 能力值： ( LV3，RANK：30 ) 在线值：发帖 0 回帖 43 粉丝 3 关注私信	如此美丽。 18 楼 mark 2025-4-11 22:12 0
zazazabo 雪币： 112 活跃值： (666) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 47 粉丝 0 关注私信	zazazabo 19 楼很牛b 2025-4-11 22:47 0
杰克王雪币： 183 活跃值： (2527) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 63 粉丝 61 关注私信	杰克王 20 楼 mark 2025-4-13 00:24 0
xxyiyi 雪币： 447 活跃值： (1233) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 66 粉丝 4 关注私信	xxyiyi 21 楼 mark 2025-5-7 17:08 0
mb_mhvnzvgr 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_mhvnzvgr 22 楼 mark 2025-5-7 20:33 1
mb_gcthpfli 雪币： 11 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_gcthpfli 23 楼来了 2025-5-7 23:37 0
kill99 雪币： 200 活跃值： (105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	kill99 24 楼多谢分享 2025-5-18 04:33 0
linghaien 雪币： 6382 活跃值： (5156) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 84 粉丝 6 关注私信	linghaien 25 楼我在win11上试了一下，这种系统进程根本没有权限打开，提权也不行，管理员用户也打不开这种进程啊最后于 2025-12-18 11:01 被linghaien编辑，原因： 2025-5-18 22:15 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复