超實(shí)用！WIN32進(jìn)程快照以及進(jìn)程ID和句柄查找

時(shí)間：2019-03-27 09:08:01

關(guān)鍵字： win32 句柄查找

手機(jī)看文章

掃描二維碼
隨時(shí)隨地手機(jī)看文章

[導(dǎo)讀]???? 要對進(jìn)程進(jìn)行某種操作，就必須首先知道該進(jìn)程的進(jìn)程句柄或者進(jìn)程ID，否則一切無從談起，對于程序自己創(chuàng)建的子進(jìn)程來說，CreateProcess函數(shù)返回了進(jìn)程句柄和進(jìn)程ID，但如果需要調(diào)試系統(tǒng)中

???? 要對進(jìn)程進(jìn)行某種操作，就必須首先知道該進(jìn)程的進(jìn)程句柄或者進(jìn)程ID，否則一切無從談起，對于程序自己創(chuàng)建的子進(jìn)程來說，CreateProcess函數(shù)返回了進(jìn)程句柄和進(jìn)程ID，但如果需要調(diào)試系統(tǒng)中已經(jīng)運(yùn)行的進(jìn)程，那就必須首先獲取它們的句柄才行。Win32中并沒有直接獲取其他進(jìn)程句柄的函數(shù)，但如果知道進(jìn)程ID，可以由此得到進(jìn)程句柄，所以可以首先通過某種途徑獲取進(jìn)程ID。

一、獲取進(jìn)程ID

1. 從窗口句柄獲取進(jìn)程句柄

????? 獲取進(jìn)程ID的方法之一是使用GetWindowThreadProcessId函數(shù)，這個(gè)函數(shù)可以從一個(gè)窗口句柄獲得創(chuàng)建該窗口的進(jìn)程的進(jìn)程ID，而通過FindWindow函數(shù)得到窗口句柄是很簡單的，所以GetWindowThreadProcessId函數(shù)的用途相當(dāng)廣泛。該函數(shù)的用法是：

DWORD GetWindowThreadProcessId(
? HWND hWnd,???????????? // handle to window
? LPDWORD lpdwProcessId? // process identifier
);

????? 其中hWnd參數(shù)指定需要用來獲取進(jìn)程ID的窗口句柄，lpdwProcessId指向一個(gè)雙字變量，函數(shù)在這里返回創(chuàng)建窗口的進(jìn)程ID，函數(shù)的返回值是目標(biāo)進(jìn)程中創(chuàng)建該窗口的線程的線程句柄（一個(gè)有用的副產(chǎn)品?。?。
　

2. 通過快照來獲取進(jìn)程ID

??????每一個(gè)應(yīng)用程序?qū)嵗谶\(yùn)行起來后都會在當(dāng)前系統(tǒng)下產(chǎn)生一個(gè)進(jìn)程，大多數(shù)應(yīng)用程序均擁有可視界面，用戶可以通過標(biāo)題欄上的關(guān)閉按鈕關(guān)閉程序。但是也有為數(shù)不少的在后臺運(yùn)行的程序是沒有可視界面的，對于這類應(yīng)用程序用戶只能通過CTRL+ALT+DEL熱鍵呼出"關(guān)閉程序"對話框顯示出當(dāng)前系統(tǒng)進(jìn)程列表，從中可以結(jié)束指定的任務(wù)。顯然，該功能在一些系統(tǒng)監(jiān)控類軟件中還是非常必需的，其處理過程大致可以分為兩步：借助系統(tǒng)快照實(shí)現(xiàn)對系統(tǒng)當(dāng)前進(jìn)程的枚舉和根據(jù)枚舉結(jié)果對進(jìn)程進(jìn)行管理。本文下面即將對此過程的實(shí)現(xiàn)進(jìn)行介紹。

　　當(dāng)前進(jìn)程的枚舉

　　要對當(dāng)前系統(tǒng)所有已開啟的進(jìn)程進(jìn)行枚舉，就必須首先獲得那些加載到內(nèi)存的進(jìn)程當(dāng)前相關(guān)狀態(tài)信息。在Windows操作系統(tǒng)下，這些進(jìn)程的當(dāng)前狀態(tài)信息不能直接從進(jìn)程本身獲取，系統(tǒng)已為所有保存在系統(tǒng)內(nèi)存中的進(jìn)程、線程以及模塊等的當(dāng)前狀態(tài)的信息制作了一個(gè)只讀副本--系統(tǒng)快照，用戶可以通過對系統(tǒng)快照的訪問完成對進(jìn)程當(dāng)前狀態(tài)的檢測。在具體實(shí)現(xiàn)時(shí)，系統(tǒng)快照句柄的獲取是通過Win32 API函數(shù)CreateToolhelp32Snapshot()來完成的，通過該函數(shù)不僅可以獲取進(jìn)程快照，而且對于堆、模塊和線程的系統(tǒng)快照同樣可以獲取。該函數(shù)原型聲明如下：

HANDLE WINAPI CreateToolhelp32Snapshot(DWORD dwFlags,DWORD th32ProcessID);

　　其中，參數(shù)dwFlags:指定將要創(chuàng)建包含哪一類系統(tǒng)信息的快照句柄，本程序中只需要檢索系統(tǒng)進(jìn)程信息，因此可將其設(shè)置為 TH32CS_SNAPPROCESS；函數(shù)第二個(gè)參數(shù)th32ProcessID`則指定了進(jìn)程的標(biāo)識號，當(dāng)設(shè)置為0時(shí)指定當(dāng)前進(jìn)程。如果成功函數(shù)將返回一個(gè)包含進(jìn)程信息的系統(tǒng)快照句柄。在得到快照句柄之后只能以只讀的方式對其進(jìn)行訪問。至于對系統(tǒng)快照句柄的使用同普通對象句柄的使用并沒有什么太大區(qū)別，在使用完之后也需要通過CloseHandle()函數(shù)將其銷毀。
　　在得到系統(tǒng)的快照句柄后，就可以對當(dāng)前進(jìn)程的標(biāo)識號進(jìn)行枚舉了，通過這些枚舉出的進(jìn)程標(biāo)識號可以很方便的對進(jìn)程進(jìn)行管理。進(jìn)程標(biāo)識號通過函數(shù) Process32First() 和 Process32Next()而得到，這兩個(gè)函數(shù)可以枚舉出系統(tǒng)當(dāng)前所有開啟的進(jìn)程，并且可以得到相關(guān)的進(jìn)程信息。這兩個(gè)函數(shù)原型聲明如下：

BOOL WINAPI Process32First(HANDLE hSnapshot, LPPROCESSENTRY32 lppe);
BOOL WINAPI Process32Next(HANDLE hSnapshot,LPPROCESSENTRY32 lppe);

　　以上兩個(gè)函數(shù)分別用于獲得系統(tǒng)快照中第一個(gè)和下一個(gè)進(jìn)程的信息，并將獲取得到的信息保存在指針lppe所指向的PROCESSENTRY32結(jié)構(gòu)中。函數(shù)第一個(gè)參數(shù)hSnapshot為由CreateToolhelp32Snapshot()函數(shù)返回得到的系統(tǒng)快照句柄；第二個(gè)參數(shù)lppe為指向結(jié)構(gòu) PROCESSENTRY32的指針，PROCESSENTRY32結(jié)構(gòu)可對進(jìn)程作一個(gè)較為全面的描述，其定義如下：

typedef struct tagPROCESSENTRY32 {
DWORD dwSize; // 結(jié)構(gòu)大小；
DWORD cntUsage; // 此進(jìn)程的引用計(jì)數(shù)；
DWORD th32ProcessID; // 進(jìn)程ID;
DWORD th32DefaultHeapID; // 進(jìn)程默認(rèn)堆ID；
DWORD th32ModuleID; // 進(jìn)程模塊ID；
DWORD cntThreads; // 此進(jìn)程開啟的線程計(jì)數(shù)；
DWORD th32ParentProcessID; // 父進(jìn)程ID；
LONG pcPriClassBase; // 線程優(yōu)先權(quán)；
DWORD dwFlags; // 保留；
char szExeFile[MAX_PATH]; // 進(jìn)程全名；
} PROCESSENTRY32;

　　以上三個(gè)API函數(shù)均在頭文件tlhelp32.h中聲明，運(yùn)行時(shí)需要有kernel32.lib庫的支持。通過這三個(gè)函數(shù)可以枚舉出當(dāng)前系統(tǒng)已開啟的所有進(jìn)程，并可獲取到進(jìn)程的各相關(guān)信息，下面給出一個(gè)簡單的應(yīng)用示例。在此示例中將枚舉出系統(tǒng)的所有進(jìn)程，并逐個(gè)比較進(jìn)程名，查找需要的進(jìn)程信息。如果有，則返回進(jìn)程ID，否則返回 -1。

pid_t CProbeCMaster::is_process_running(const char* process_name)
{
?pid_t process_id = -1;
#ifdef ACE_WIN32
??HANDLE Snapshot;
??Snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
??//獲得某一時(shí)刻系統(tǒng)的進(jìn)程、堆（heap）、模塊（module）或線程的快照信息
??PROCESSENTRY32 processListStr;
??processListStr.dwSize = sizeof(PROCESSENTRY32);
??BOOL return_value;
??return_value = Process32First(Snapshot,&processListStr);
??//獲得系統(tǒng)進(jìn)程鏈表中第一個(gè)進(jìn)程的信息
??while(return_value)
??{
???if( ACE_OS::strcmp(process_name, processListStr.szExeFile) == 0 )
???{ //比較進(jìn)程名，如果此進(jìn)程與傳入的進(jìn)程名相同，那么就找到了需要的進(jìn)程信息
????process_id = processListStr.th32ProcessID;
????break;
???}
???return_value = Process32Next(Snapshot, &processListStr);
???//獲得系統(tǒng)進(jìn)程鏈表中下一個(gè)進(jìn)程的信息
??}
??CloseHandle( Snapshot );
#endif
?return process_id;
}

二、獲取進(jìn)程的句柄

得到了進(jìn)程ID以后，就可以通過OpenProcess函數(shù)來獲取該進(jìn)程的句柄了。

HANDLE OpenProcess(
? DWORD dwDesiredAccess,? // access flag
? BOOL bInheritHandle,??? // handle inheritance option
? DWORD dwProcessId?????? // process identifier
);

函數(shù)的參數(shù)定義如下：

●?? dwDesiredAccess——指定需要對該進(jìn)程進(jìn)行的操作，要對目標(biāo)進(jìn)程進(jìn)行某種操作，必須指定操作代碼，但是在Windows NT操作系統(tǒng)中，對其他進(jìn)程操作需要有相應(yīng)的權(quán)限，如需要結(jié)束目標(biāo)進(jìn)程就必須有PROCESS_TERMINATE權(quán)限才行，當(dāng)權(quán)限不夠的時(shí)候，打開進(jìn)程的操作就會失敗。一般來說，除了系統(tǒng)進(jìn)程以外，可以對其他進(jìn)程進(jìn)行任何操作，操作碼可以是以下取值的組合：

■?? PROCESS_ALL_ACCESS——等于下面全部操作碼的組合。

■?? PROCESS_CREATE_THREAD——允許創(chuàng)建遠(yuǎn)程線程。

■?? PROCESS_DUP_HANDLE——允許進(jìn)程句柄被復(fù)制。

■?? PROCESS_QUERY_INFORMATION——允許使用GetExitCodeProcess函數(shù)查詢進(jìn)程的退出碼或使用GetPriorityClass函數(shù)查詢進(jìn)程的優(yōu)先級。

■?? PROCESS_SET_INFORMATION——允許使用SetPriorityClass函數(shù)設(shè)置進(jìn)程的優(yōu)先級。

■?? PROCESS_TERMINATE——允許終止進(jìn)程。

■?? PROCESS_VM_OPERATION—允許使用WriteProcessMemory函數(shù)或VirtualProtectEx函數(shù)修改進(jìn)程的地址空間。

■?? PROCESS_VM_READ——允許對進(jìn)程的地址空間進(jìn)行讀操作。

■?? PROCESS_VM_WRITE——允許對進(jìn)程的地址空間進(jìn)行寫操作。

●?? bInheritHandle——指明返回的進(jìn)程句柄是否可以被當(dāng)前進(jìn)程的子進(jìn)程繼承，如果參數(shù)指定為TRUE，則句柄可以被繼承。

●?? dwProcessId——指定目標(biāo)進(jìn)程的進(jìn)程ID。

如果函數(shù)執(zhí)行成功，返回值是被打開的進(jìn)程句柄。如果函數(shù)執(zhí)行失敗則返回NULL。一般打開失敗的原因是由權(quán)限不夠引起的。當(dāng)完成對目標(biāo)進(jìn)程的操作以后，必須使用CloseHandle將獲得的句柄關(guān)閉。

三、對進(jìn)程的管理

　　在得到各枚舉進(jìn)程的標(biāo)識號后就可以實(shí)現(xiàn)對進(jìn)程的管理了，由于被管理進(jìn)程在當(dāng)前進(jìn)程之外，因此必須首先通過OpenProcess()函數(shù)來獲取一個(gè)已經(jīng)存在的進(jìn)程對象的句柄，然后才可以通過該句柄對指定的進(jìn)程進(jìn)行管理和控制。在OpenProcess()函數(shù)的調(diào)用時(shí)把進(jìn)程標(biāo)識號作為參數(shù)傳入， OpenProcess()函數(shù)的原型聲明如下：

HANDLE OpenProcess(DWORD dwDesiredAccess, // 訪問標(biāo)志
BOOL bInheritHandle, // 處理繼承的標(biāo)志
DWORD dwProcessId // 進(jìn)程標(biāo)識號);

　　如果函數(shù)執(zhí)行成功將返回由進(jìn)程標(biāo)識號指定的進(jìn)程對象句柄。下面同樣也對其給出一個(gè)簡單的應(yīng)用示例，在此示例中根據(jù)所獲取的進(jìn)程對象句柄通過TerminateProcess()函數(shù)將指定的進(jìn)程終止：

// 查看"test.ext"進(jìn)程是否存在，如果存在則返回它的進(jìn)程ID

pid_t process_id = is_process_running("test.exe");

if ( process_id > 0 )

{
??? // 利用進(jìn)程的ID值，打開該進(jìn)程，獲得進(jìn)程句柄
??? HANDLE hProcess = OpenProcess(PROCESS_TERMINATE, FALSE,data);
??? // 檢測句柄的有效性,如有效則終止該進(jìn)程
??? if (hProcess)
??????? TerminateProcess(hProcess,0);

}

　　由于需要在調(diào)用TerminateProcess()函數(shù)終止進(jìn)程時(shí)確保進(jìn)程句柄可有效使用，因此在前面調(diào)用OpenProcess()時(shí)，需要指定其訪問標(biāo)致為PROCESS_TERMINATE。