首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 求助问答
    3. 发新帖
未解决 [求助] WIN内核中如何获取被WMI代理的进程ID 100雪币
发表于: 2026-5-5 20:41 2241

未解决 [求助] WIN内核中如何获取被WMI代理的进程ID 100雪币

hmuyin 活跃值
2026-5-5 20:41
2241

比如在派遣中，
PsGetCurrentProcessId，PsGetCurrentThread，PsGetProcessId，IoThreadToProcess，均得到 WmiPrvSE.exe 进程，但实际是由应用程序调用WMI来发起的IRP，该如何才能正确的获取到这个应用程序的ID呢？ 有大佬有过类似的经历吗？ 是怎么处理的呢？能否分享下你的经验


[招生]科锐逆向工程师培训(2026年7月3日实地，远程教学同时开班, 第56期)！

收藏
免费 ・0
打赏
分享
最新回复 (1)
TurkeybraNC
雪    币： 3000
活跃值： (2670)
能力值： ( LV6，RANK：80 )
在线值：
发帖
回帖
粉丝
私信
2 楼
WMI 通常会在调用 DeviceIoControl 前模拟客户端。在驱动中获取当前线程的模拟令牌，提取其中的登录会话 LUID，再枚举系统进程，比较各进程主令牌的 LUID，即可匹配到相同登录会话的进程。但并非所有场景都有模拟
2026-5-28 22:50
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回