Командная строка процесса без WMI

Question

У меня есть проблема с чтением командной строки указанного процесса непосредственно из PEB с помощью PowerShell. Я получаю данные PROCESS_BASIC_INFORMATION с помощью NtQueryInformationProcess.

# $proc - process handle 
if ($NtQueryInformationProcess(
    $proc, 0, $PROCESS_BASIC_INFORMATION, [Runtime.InteropServices.Marshal]::SizeOf(
    $PROCESS_BASIC_INFORMATION 
), [IntPtr]::Zero 
))) -eq 0) { 
    # pointer to RTL_USER_PROCESS_PARAMETERS 
    $ptr = [Runtime.InteropServices.Marshal]::ReadIntPtr($PROCESS_BASIC_INFORMATION.PebBaseAddress, 0x10) 
    # pointer to CommandLine field of structure above 
    $ptr = [Runtime.InteropServices.Marshal]::ReadIntPtr($ptr, 0x40) 
    # how to get CommandLine field (UNICODE_STRING structure)? 
} 

Все указатели правильно, но я не имею ни малейшего представления, как читать CommandLine поле с типом маршалом. Есть идеи?

Answer 1

Несмотря на то, что в заголовке указано «без WMI», я бы по-прежнему рекомендовал WMI, поскольку его гораздо проще использовать. Ex. используя класс WMI Win32_Process.

Get-WmiObject -Class Win32_Process -Filter "ProcessID = '10708'" | Format-List ProcessID, Name, Path, Commandline 

ProcessID : 10708 
Name  : powershell.exe 
Path  : C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe 
Commandline : "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe" -version 2