Windwos C语言驱动如何获取进程的用户名

在 Windows C 语言驱动中，可以使用以下步骤获取当前进程的用户名：

1. 获取当前进程的进程 ID（PID）。
2. 使用内核函数 `PsLookupProcessByProcessId()` 获取进程的 EPROCESS 结构体指针。
3. 在 EPROCESS 结构体中，可以通过 `Token` 成员获取进程的访问令牌（Access Token）。
4. 在访问令牌中，可以通过 `UserAndGroups` 成员获取用户 SID 和组 SID 列表。
5. 使用内核函数 `SeQueryInformationToken()` 获取访问令牌中用户 SID 对应的用户信息。
6. 在用户信息中，可以通过 `Name` 成员获取用户的用户名。

以下是示例代码：

// 获取当前进程的进程 ID
ULONG current_pid = PsGetCurrentProcessId();

// 获取进程的 EPROCESS 结构体指针
PEPROCESS target_process = NULL;
if (NT_SUCCESS(PsLookupProcessByProcessId((HANDLE)current_pid, &target_process))) {

    // 获取进程的访问令牌
    PACCESS_TOKEN access_token = PsReferencePrimaryToken(target_process);

    // 获取访问令牌中用户 SID 和组 SID 列表
    PTOKEN_USER user_info = NULL;
    ULONG user_info_size = 0;
    if (NT_SUCCESS(SeQueryInformationToken(access_token, TokenUser, &user_info, &user_info_size))) {

        // 获取用户 SID 对应的用户信息
        PUNICODE_STRING user_name = NULL;
        if (NT_SUCCESS(RtlConvertSidToUnicodeString(&user_name, user_info->User.Sid, TRUE))) {

            // 打印用户信息
            DbgPrint("Current process username: %wZ\n", user_name);

            RtlFreeUnicodeString(user_name);
        }

        ExFreePool(user_info);
    }

    ObDereferenceObject(access_token);
}

注意：以上代码仅适用于 Windows 内核模式驱动程序，不适用于用户模式程序。另外，在使用访问令牌时需要注意访问令牌的安全性和有效性。