!process -- Image name

PROCESS 852b8020  SessionId: 0  Cid: 1154    Peb: 7ffda000  ParentCid: 0ba4

    DirBase: ad036740  ObjectTable: b4061630  HandleCount:  53.

    Image: WerFault.exe

 From the _KPROCESS, it can't find the image name information, and it can be found in the _EPROCESS structure.

 

0: kd> dt _EPROCESS

nt!_EPROCESS

   +0x000 Pcb              : _KPROCESS

   +0x160 ProcessLock      : _EX_PUSH_LOCK

   +0x168 CreateTime       : _LARGE_INTEGER

   +0x170 ExitTime         : _LARGE_INTEGER

   +0x178 RundownProtect   : _EX_RUNDOWN_REF

   +0x180 UniqueProcessId  : Ptr64 Void

   +0x188 ActiveProcessLinks : _LIST_ENTRY

   +0x198 ProcessQuotaUsage : [2] Uint8B

   +0x1a8 ProcessQuotaPeak : [2] Uint8B

   +0x1b8 CommitCharge     : Uint8B

   +0x1c0 QuotaBlock       : Ptr64 _EPROCESS_QUOTA_BLOCK

   +0x1c8 CpuQuotaBlock    : Ptr64 _PS_CPU_QUOTA_BLOCK

   +0x1d0 PeakVirtualSize  : Uint8B

   +0x1d8 VirtualSize      : Uint8B

   +0x1e0 SessionProcessLinks : _LIST_ENTRY

   +0x1f0 DebugPort        : Ptr64 Void

   +0x1f8 ExceptionPortData : Ptr64 Void

   +0x1f8 ExceptionPortValue : Uint8B

   +0x1f8 ExceptionPortState : Pos 0, 3 Bits

   +0x200 ObjectTable      : Ptr64 _HANDLE_TABLE

   +0x208 Token            : _EX_FAST_REF

   +0x210 WorkingSetPage   : Uint8B

   +0x218 AddressCreationLock : _EX_PUSH_LOCK

   +0x220 RotateInProgress : Ptr64 _ETHREAD

   +0x228 ForkInProgress   : Ptr64 _ETHREAD

   +0x230 HardwareTrigger  : Uint8B

   +0x238 PhysicalVadRoot  : Ptr64 _MM_AVL_TABLE

   +0x240 CloneRoot        : Ptr64 Void

   +0x248 NumberOfPrivatePages : Uint8B

   +0x250 NumberOfLockedPages : Uint8B

   +0x258 Win32Process     : Ptr64 Void

   +0x260 Job              : Ptr64 _EJOB

   +0x268 SectionObject    : Ptr64 Void

   +0x270 SectionBaseAddress : Ptr64 Void

   +0x278 Cookie           : Uint4B

   +0x27c UmsScheduledThreads : Uint4B

   +0x280 WorkingSetWatch  : Ptr64 _PAGEFAULT_HISTORY

   +0x288 Win32WindowStation : Ptr64 Void

   +0x290 InheritedFromUniqueProcessId : Ptr64 Void

   +0x298 LdtInformation   : Ptr64 Void

   +0x2a0 Spare            : Ptr64 Void

   +0x2a8 ConsoleHostProcess : Uint8B

   +0x2b0 DeviceMap        : Ptr64 Void

   +0x2b8 EtwDataSource    : Ptr64 Void

   +0x2c0 FreeTebHint      : Ptr64 Void

   +0x2c8 FreeUmsTebHint   : Ptr64 Void

   +0x2d0 PageDirectoryPte : _HARDWARE_PTE

   +0x2d0 Filler           : Uint8B

   +0x2d8 Session          : Ptr64 Void

   +0x2e0 ImageFileName    : [15] UChar