还剩7页未读,继续阅读
文本内容:
四种方法实现VC枚举系统当前进程 在Windows2000以上的MS操作系统,通过Windows的任务管理器可以列出当前系统的所有活动进程(如图1所示),在WindowsXP中,更是在控制台下增加了一条Tasklist命令,让系统下的所有进程无所遁行(如图2所示)这一切是怎么实现的呢? 图1 图2引用侯捷__在《深入浅出MFC》的一句话,“知其然而不知其所以然,真不是个好办法”既然如此,我们干脆自己动手,自己通过编程来实现吧,这样很有成就感哦!以下所有代码均在WindowsXPSP1+VC
6.0sp6编译环境下通过Ok,Let’go!方法一第一种方法是大家比较熟悉的通过ToolHelpServi__提供的API函数来实现这里用到了3个关键的函数CreateToolhelp32Snapshot,Pro__ss32First和Pro__ss32Next下面给出了关于这三个函数的原形和参数说明;HANDLEWINAPICreateToolhelp32Snapshot DWORDdwFlags//系统快照要查看的信息类型 DWORDth32Pro__ssID //值0表示当前进程;BOOLWINAPIPro__ss32First HANDLEhSnapshot //CreateToolhelp32Snapshot创建的快照句柄 LPPRO__SSENTRY32lppe //指向进程入口结构;BOOLWINAPIPro__ss32Next HANDLEhSnapshot //这里参数同Pro__ss32First LPPRO__SSENTRY32lppe //同上;首先使用CreateToolhelp32Snapshot创建系统快照句柄(hpro__ss是我们声明用来保存创建的快照句柄)hPro__ss=CreateToolhelp32SnapshotTH32CS_SNAPPRO__SS0;然后调用Pro__ss32First获得系统快照中的第一个进程信息(Report是BOOL型作为判断系统快照中下一条进程记录) report=Pro__ss32FirsthPro__sspinfo;接着用一个循环调用来遍历系统中所有运行的进程 whilereport { hModule=CreateToolhelp32SnapshotTH32CS_SNAPMODULEpinfo-th32Pro__ssID; Module32FirsthModuleminfo; GetShortPathNameminfo-szExePathshortpath256; printf%s---%s\npinfo-szExeFileshortpath; report=Pro__ss32NexthPro__sspinfo; }笔者曾通过对Pstools工具包里的Pslist.exe反编译,发现该工具用的就是这种方法如果你查询MSDN,可以找到一个比这个功能更加完善的源程序方法二 第二种方法也很常见,通过MSDN就可以找到例子代码,它是通过Psapi.dll提供的API函数EnumPro__sses和EnumPro__s__odules来实现有一点要说明的是,VisualStudio提供的SDK包里没有提供相应的Psapi.h和与之相对应的导入库,笔者当时就很纳闷,MSDN里的例子居然编译不通,后来才发现,编译时根本找不到“psapi.h”呵呵,还好,MSDN至少告诉我们他们都包含Psapi.dll里,用VC自带的Depend工具一查,果然这样就好办了,我们可以自己找到这些函数入口地址小知识C也好C++也好,一般的函数名本质上都是一个地址,在Win32的API里,它是指向函数所在Dll模块里函数实现的入口地址下面是第二种方法的实现过程首先,先把Psapi.dll里要用到函数都定义好,方便后面显示调用//在psaipi.dll中的函数EnumPro__sses用来枚举进程typedefBOOL_stdcall*ENUMPRO__SSES //注意这里要指明调用约定为-stdcall DWORD*pPro__ssIds //指向进程ID数组链 DWORDcb //ID数组的大小,用字节计数 DWORD*pBytesReturned; //返回的字节//在psapi.dll中的函数EnumPro__s__odules用来枚举进程模块typedefBOOL_stdcall*ENUMPRO__S__ODULES HANDLEhPro__ss //进程句柄 HMODULE*lphModule //指向模块句柄数组链 DWORDcb //模块句柄数组大小,字节计数 LPDWORDlpcbNeeded; //存储所有模块句柄所需的字节数//在psapi.dll中的函数GetModuleFileNameEx获得进程模块名typedefDWORD_stdcall*GETMODULEFILENAMEEX HANDLEhPro__ss //进程句柄 HMODULEhModule //进程句柄 LPTSTRlpFilename //存放模块全路径名 DWORDnSize //lpFilename缓冲区大小,字符计算;好,通过每个定义的函数前的注释你可以清楚看到这些原函数名,然后当然要加载包含这些函数模块Psapi.dll啦 hPsDll=LoadLibraryPSAPI.DLL;接着,通过Dll入口,我们查找每个函数地址pEnumPro__sses =ENUMPRO__SSESGetProcAddresshPsDllEnumPro__sses;pEnumPro__s__odules =ENUMPRO__S__ODULESGetProcAddresshPsDllEnumPro__s__odules;pGetModuleFileNameEx = GETMODULEFILENAMEEXGetProcAddresshPsDllGetModuleFileNameExA;注意第三个函数名GetModuleFileNameExA,在Dll里有以A和W结尾区分函数,A指采用的是ANSI字符串方式,W则是UNICODE方式于是,我们可以用下面的语句枚举进程pEnumPro__ssespro__ssidsizeofpro__ssidneeded; pro__sscount=needed/sizeofDWORD; fori=0;ipro__sscount;i++ { //打开进程 hPro__ss=OpenPro__ssPRO__SS_QUERY_INFOR__TION|PRO__SS_VM_READfalsepro__ssid[i]; ifhPro__ss { pEnumPro__s__oduleshPro__sshModulesizeofhModuleneeded; pGetModuleFileNameExhPro__sshModulepathsizeofpath; GetShortPathNamepathpath256; itoapro__ssid[i]temp10; printf%s---%s\npathtemp; } else printfFailed!!!\n; }方法三 也许你会说前两种方法全世界都知道了,没什么大不了的!呵呵,那么笔者现在介绍的第三种方法,你就未必知道了本方法利用了WindowsNT/2000下终端服务API函数WTSOpenServer和WTSEnumeratePro__ss来实现,这两个函数都定义在Wtsapi
32.dll里具体的关于终端服务方面的知识,大家可以查询MSDN首先,我们来显示申明这两个函数原形typedefHANDLE_stdcall*WTSOPENSERVERLPTSTRpServerName//NetBios指定的终端服务名,如果我们查看本地终端所有进程信息我们可以通过在控制台命令行下用nbtstat–an来获取本机NetBios名如图3所示; 图3typedefBOOL_stdcall*WTSENUMERATEPRO__SSES HANDLEhServer //WTSOpenServer返回的句柄 DWORDReserved //保留值,0 DWORDVersion //指定枚举要求的版本,必须为1 PWTS_PRO__SS_INFO*ppPro__ssInfo//这个参数是关键,存放我们要的进程名和进程id DWORD*pCount //用来存放ppPro__ssInfo里WTS_PRO__SS_INFO结构的数量指针;和前面一样,要先装载Wtsapi
32.dll模块,获取关键函数地址hWtsApi32=LoadLibrarywtsapi
32.dll;pWtsOpenServer =WTSOPENSERVERGetProcAddresshWtsApi32WTSOpenServerA;pWtsEnumeratePro__sses=WTSENUMERATEPRO__SSESGetProcAddresshWtsApi32WTSEnumeratePro__ssesA;通过Argv
[1]给终端服务名(这里我们赋本机NetBios名)赋一个值并打开这项服务char*szServerName=argv
[1];hWtsServer=pWtsOpenServerszServerName;然后开始遍历终端服务器上的所有进程,这里我们是指本机的所有进程if!pWtsEnumeratePro__sseshWtsServer 0 1 pWtspi dwCount { printfenumpro__sseserror:%d\nGetLastError; return; }; forinti=0;idwCount;i++ { printfps_Id:%d\t\tps_name:%s\npWtspi[i].Pro__ssIdpWtspi[i].pPro__ssName; }怎么样,酷吧,跟前面两种方法效果一样!方法四 最后笔者介绍一种最少人用的方法,本方法是从“幻影旅团”__上看到的后面给出的源代码也是从他们那拷贝过来的呵呵,这种方法也提供给我们一种很好的思路 这第四种方法利用了NativeApi的NtQuerySystemInfor__tion函数来实现同样没有该函数的导入库,也要自己定义原形整个实现不难,可是有点烦,因为在该函数参数结构上,笔者通查MSDN查了很久才找到这些相关的结构,下面我们来看看这个方法的实现吧先是自定义函数原形typedefNTSTATUS__stdcall*PZWQUERYSYSTEMINFOR__TION INSYSTEM_INFOR__TION_CLASSSystemInfor__tionClass INOUTPVOIDSystemInfor__tion INULONGSystemInfor__tionLength OUTPULONGReturnLength;然后,还是和前面一样,要找到ZwQuerySystemInfor__tion在Ntdll.dll模块里的入口地址hModule=GetModuleHandleLPCTSTRntdll.dll;pZwQuerySystemInfor__tion=PZWQUERYSYSTEMINFOR__TIONGetProcAddresshModuleLPCTSTRZwQuerySystemInfor__tion;获得指向进程信息数组链的第一条进程信息pSystemPro__ssInfor__tion=SYSTEM_PRO__SS_INFOR__TION*pvPro__ssList;和方法一方法二一样,在获得第一条进程信息后,开始循环遍历,列出其余的进程whileTRUE { ifpSystemPro__ssInfor__tion-NextEntryDelta==0//如果是最后一条,则终止循环 break; pSystemPro__ssInfor__tion=SYSTEM_PRO__SS_INFOR__TION*PCHARpSystemPro__ssInfor__tion+pSystemPro__ssInfor__tion-NextEntryDelta; pPro__ssName=char*__llocpSystemPro__ssInfor__tion-Pro__ssName.Length+2;}特别注意的是,这里SYSTEM_PRO__SS_INFOR__TION结构里进程名的类型为UNICODE_STRING而UNICODE_STRING里的成员Buffer定义的是Unicode类型typedefstruct_SYSTEM_PRO__SS_INFOR__TION { DWORDNextEntryDelta; DWORDdThreadCount; DWORDdReserved01; DWORDdReserved02; DWORDdReserved03; DWORDdReserved04; DWORDdReserved05; DWORDdReserved06; FILETIMEftCreateTime;/*relativeto01-01-1601*/ FILETIMEftUserTime;/*100nsecunits*/ FILETIMEftKernelTime;/*100nsecunits*/ UNICODE_STRINGPro__ssName; //这就是进程名 DWORDBasePriority; DWORDdUniquePro__ssId; //进程ID DWORDdParentPro__ssID; DWORDdHandleCount; DWORDdReserved07; DWORDdReserved08; DWORDVmCounters; DWORDdCommitCharge; PVOIDThreadInfos
[1];}SYSTEM_PRO__SS_INFOR__TION*PSYSTEM_PRO__SS_INFOR__TION;typedefstruct_UNICODE_STRING{ USHORTLength; USHORT__ximumLength; PWSTR Buffer; //注意,这里为Unicode类型}UNICODE_STRING*PUNICODE_STRING;所以,最后我们要调用WideCharToMultiByte()来还原成ANSI字符串以便输出WideCharToMultiByteCP_ACP 0 pSystemPro__ssInfor__tion-Pro__ssName.Buffer pSystemPro__ssInfor__tion-Pro__ssName.Length+1 pPro__ssName pSystemPro__ssInfor__tion-Pro__ssName.Length+1 NULL NULL;具体每个参数大家可以参照MSDN,很简单的以上四种方法的完整源代码见光盘 从这里看出,查看系统当前活动进程的实现也不过如此,况且,笔者还没有给出第五种方法(可以通过WMI的COM接口函数CoCreateInstan__,ConnectServer,ExecQuery等函数来实现,留给读者自己练习),呵呵,好玩吧?居然有那么多种方法。