// 返回类似于C:\WINDOWS\Explorer.exe (ANSI)
        PVOID SectionObject;
        PFILE_OBJECT FileObject;
        UNICODE_STRING FilePath;
        UNICODE_STRING DosName;
        NTSTATUS Status;
        STRING AnsiString;

        SectionObject = NULL;
        FileObject = NULL;
        FilePath.Buffer = NULL;
        FilePath.Length = 0;
        *ProcessImageName = 0;
        Status = ObReferenceObjectByHandle(SectionHandle, 0, NULL, KernelMode, &SectionObject, NULL);

        if ( NT_SUCCESS(Status) )
        {
                FilePath.Buffer = ExAllocatePool(PagedPool,0x200);
                FilePath.MaximumLength = 0x200;
                FileObject = (PFILE_OBJECT)(*((ULONG *)SectionObject + 5)); // PSEGMENT
                FileObject = *(PFILE_OBJECT *)FileObject; // CONTROL_AREA
                FileObject = *(PFILE_OBJECT *)((ULONG)FileObject + 36); // FILE_OBJECT
                ObReferenceObjectByPointer((PVOID)FileObject, 0, NULL, KernelMode);
                RtlVolumeDeviceToDosName(FileObject-> DeviceObject, &DosName);
                RtlCopyUnicodeString(&FilePath, &DosName);
                RtlAppendUnicodeStringToString(&FilePath, &FileObject->FileName);
                ObDereferenceObject(FileObject);
                ObDereferenceObject(SectionObject);
                RtlUnicodeStringToAnsiString(&AnsiString, &FilePath, TRUE);
                if ( AnsiString.Length >= 256 )
                {
                        memcpy(ProcessImageName, AnsiString.Buffer, 0x100u);
                        *(ProcessImageName + 255) = 0;
                }
                else
                {
                        memcpy(ProcessImageName, AnsiString.Buffer, AnsiString.Length);
                        ProcessImageName[AnsiString.Length] = 0;
                }

.............(ProcessImageName 就是了)

RtlVolumeDeviceToDosName

2楼那不是炉子写的吗？