typedef struct _SYSTEM_PROCESS_INFORMATION
{   
    ULONG                   NextEntryOffset;                 //NextEntryOffset下一个进程结构的偏移量,每一个进程对应一个结构
        //最后一个进程的NextEntryOffset=0
    ULONG                   NumberOfThreads;                 //线程数目   
    LARGE_INTEGER           Reserved[3];   
    LARGE_INTEGER           CreateTime;                      //创建时间   
    LARGE_INTEGER           UserTime;                        //用户模式(Ring 3)的CPU时间   
    LARGE_INTEGER           KernelTime;                      //内核模式(Ring 0)的CPU时间   
    UNICODE_STRING          ProcessName;                     //进程名   
    KPRIORITY               BasePriority;                    //进程优先权   
    ULONG                   ProcessId;                       //进程标识符   
    ULONG                   InheritedFromProcessId;          //父进程的标识符   
    ULONG                   HandleCount;                     //句柄数目   
    ULONG                   Reserved2[2];   
      ULONG                   PrivatePageCount;   
      VM_COUNTERS             VirtualMemoryCounters;           //虚拟存储器的结构   
    IO_COUNTERS             IoCounters;                      //IO计数结构   
    SYSTEM_THREAD_INFORMATION     Threads[0];                //进程相关线程的结构数组   
} SYSTEM_PROCESS_INFORMATION, *PSYSTEM_PROCESS_INFORMATION;

这个结构从何而来，跟EPROCESS有什么关系吗？

帮SD老师顶一下

答案尽在WRK，自己看吧，ZwQuerySystemInformation是遍历EPROCESS的ActiceProcessLink来获取信息的

答案尽在WRK，自己看吧，ZwQuerySystemInformation是遍历EPROCESS的ActiveProcessLink来获取信息的

怎么发重了…

那个结构中的大部分信息就来自EPROCESS~

同上，源码

谢了 0000

看到了  的确是从EPRROCESS来的