获取EPROCESS的创建时间，R0层

[cjbclown2012]

LARGE_INTEGER a,b;
DWORD *aa;
TIME_FIELDS tmt;
DbgPrint("EP地址：%X\n",process);//地址是对的
a = (LARGE_INTEGER*)process+0x78;//获取退出时间
ExSystemTimeToLocalTime(&a,&b);
RtlTimeToTimeFields(&a,&tmt);
DbgPrint("%d\n%d\n%d\n%d\n%d\n%d\n%d\n%d\n", tmt.Year,tmt.Month,tmt.Day,tmt.Hour,tmt.Minute,tmt.Second,tmt.Milliseconds,tmt.Weekday);//打印出来的时间不对，
我想问一下这里该怎么显示时间呢？谢谢哥们

//LONGLONG tim=PsGetProcessCreateTimeQuadPart(process);
上次有人说这个API获取创建时间，但返回的是LONGLONG的类型，我不太清楚在R0层怎么显示时间

DbgPrint("%ld\n",PsGetProcessCreateTimeQuadPart(process));
//a=PsGetProcessExitTime();

[色郎中]

换windbg 看看呢

[cjbclown2012]

我看过了，地址是对的，但我不知道读出来，怎么显示出来

[曹大夯]

引用 楼主 cjbclown2012 的回复:

//打印出来的时间不对， 我想问一下这里该怎么显示时间呢？谢谢哥们

你看到的打印结果是什么？