Windows 驱动根据EPROCESS获取进程命令行参数

获取进程的命令行参数可以通过EPROCESS结构体中的Peb成员实现。具体来说，可以使用PsLookupProcessByProcessId函数获取EPROCESS结构体指针，然后通过Peb成员获取PEB结构体指针，最后通过PEB结构体中的ProcessParameters成员获取RTL_USER_PROCESS_PARAMETERS结构体指针，从而获取命令行参数。以下是示例代码：

NTSTATUS GetCommandLineByProcessId(HANDLE processId, PUNICODE_STRING *commandLine)
{
    NTSTATUS status = STATUS_SUCCESS;
    PEPROCESS process = NULL;
    PPEB peb = NULL;
    PRTL_USER_PROCESS_PARAMETERS processParameters = NULL;

    // 根据进程ID获取EPROCESS结构体指针
    status = PsLookupProcessByProcessId(processId, &process);
    if (!NT_SUCCESS(status))
    {
        DbgPrint("Failed to lookup process by process ID, status: 0x%x\n", status);
        goto Cleanup;
    }

    // 获取PEB结构体指针
    peb = PsGetProcessPeb(process);
    if (peb == NULL)
    {
        DbgPrint("Failed to get process PEB\n");
        status = STATUS_UNSUCCESSFUL;
        goto Cleanup;
    }

    // 获取RTL_USER_PROCESS_PARAMETERS结构体指针
    processParameters = peb->ProcessParameters;
    if (processParameters == NULL)
    {
        DbgPrint("Failed to get process parameters\n");
        status = STATUS_UNSUCCESSFUL;
        goto Cleanup;
    }

    // 获取命令行参数
    *commandLine = &processParameters->CommandLine;

Cleanup:
    if (process != NULL)
    {
        ObDereferenceObject(process);
    }

    return status;
}

注意，这段代码只是一个示例，实际使用时需要根据具体情况做出适当的修改。