pid -> user name

А можно ли в kernel узнать имя пользователя запустившего некий процесс по его pid?

 

NtOpenProcess
NtOpenProcessToken
NtQueryInformationToken

Получаешь Sid.

 

Извиняюсь. Вопрос поставил некорректно. До sid добратся могу. Не получается из sid получить имя пользователя (т.е., некий аналог LookupAccountSid)

 

можно через ЛПЦ в лсасс

 

z0mailbox
Так ведь так оно и делается.

 

А по другому вроде и нельзя. Тк lsass.exe как раз и хранит в своей БД инфу о аккуантах. Другео дело что формат сообщений для LPC недокументирован.

 

Недавно столкнулся с аналогичной проблемой... Посмотри в сторону LsaGetLogonSessionData
Жаль только под 2к не поддерживается вроде (тестировал только на ХР)

 

n0name

ну там к счастью нет нужды вручную мессаг через порт пропихивать
импортишь из драйвера такую длл - ksecdd.sys
его апи практически полностью совпадают с документированными в МСДН Lsa...

 

Хм. Не знал о таком полезном драйвере.
Тогда скорее всего достаточно вызвать SecLookupAccountSid.