获取EPROCESS的创建时间,R0层

cjbclown2012 2014-01-27 05:46:01
LARGE_INTEGER a,b;
DWORD *aa;
TIME_FIELDS tmt;
DbgPrint("EP地址:%X\n",process);//地址是对的
a = (LARGE_INTEGER*)process+0x78;//获取退出时间
ExSystemTimeToLocalTime(&a,&b);
RtlTimeToTimeFields(&a,&tmt);
DbgPrint("%d\n%d\n%d\n%d\n%d\n%d\n%d\n%d\n", tmt.Year,tmt.Month,tmt.Day,tmt.Hour,tmt.Minute,tmt.Second,tmt.Milliseconds,tmt.Weekday);//打印出来的时间不对,
我想问一下这里该怎么显示时间呢?谢谢哥们

//LONGLONG tim=PsGetProcessCreateTimeQuadPart(process);
上次有人说这个API获取创建时间,但返回的是LONGLONG的类型,我不太清楚在R0层怎么显示时间

DbgPrint("%ld\n",PsGetProcessCreateTimeQuadPart(process));
//a=PsGetProcessExitTime();
...全文
134 点赞 收藏 3
写回复
3 条回复
曹大夯 2014年01月27日
引用 楼主 cjbclown2012 的回复:
//打印出来的时间不对, 我想问一下这里该怎么显示时间呢?谢谢哥们
你看到的打印结果是什么?
回复 点赞
cjbclown2012 2014年01月27日
我看过了,地址是对的,但我不知道读出来,怎么显示出来
回复 点赞
色郎中 2014年01月27日
换windbg 看看呢
回复 点赞
发动态
发帖子
驱动开发/核心开发
创建于2007-09-28

9168

社区成员

2.1w+

社区内容

硬件/嵌入开发 驱动开发/核心开发
社区公告
暂无公告