一个如何终止系统进程的问题

最新推荐文章于 2024-05-01 21:07:14 发布

转载最新推荐文章于 2024-05-01 21:07:14 发布 · 1.6k 阅读

文章标签：

#integer #delphi #token #access #function #null

主题:一个如何终止系统进程的问题！高手请进！谢谢

procedure TForm1.SystemProcessID;
var
pe:PROCESSENTRY32;
me:MODULEENTRY32;
hp,hm:Thandle;
b,b1:boolean;
Pro_path:string;
begin
Form1.ListBox1.Items.Clear;
hp:=CreateToolHelp32SnapShot(TH32CS_SNAPPROCESS,0);
pe.dwSize:=SizeOf(pe);
b:=Process32First(hp,pe);
while b do
begin //TH32CS_SNAPMODULE
hm:=CreateToolHelp32SnapShot(TH32CS_SNAPALL,pe.th32ProcessID);
me.dwSize:=sizeof(ModuleEntry32);
if Module32First(hm,me) then
begin
b1:=Module32First(hm,me);
Pro_path:=LowerCase(me.szExePath);
// ProcID[i] := me.th32ProcessID;
Form1.ListBox1.Items.Add(Pro_Path);
//TerminateProcess(
while b1 do
begin
// Form1.ListBox1.Items.Add();
b1:=Module32Next(hm,me);
end;
end;
b:=Process32Next(hp,pe);
end;
end;
在WIN2000中此函数可以获取一些用户执行的进程！无法获取系统进程！
执行结果如下：
d:/killproc/killproc.exe 2748
c:/winnt/explorer.exe 1576
c:/winnt/system32/mmc.exe 836
c:/program files/microsoft sql server/80/tools/binn/isqlw.exe 1852
c:/winnt/system32/taskmgr.exe 1292
d:/program files/borland/delphi6/bin/delphi32.exe 1788
c:/winnt/winhlp32.exe 532
c:/program files/internet explorer/iexplore.exe 1772
c:/program files/internet explorer/iexplore.exe 1096
c:/program files/internet explorer/iexplore.exe 2144
c:/winnt/system32/rdpclip.exe 2408
c:/winnt/explorer.exe 2444
c:/winnt/system32/internat.exe 2520
无法获取系统进程如 system.exe svchost.exe 等等
请问如何获取这些进程
我是使用这些来结束进程的
D:=OpenProcess(PROCESS_TERMINATE,True,ProcID[i]);
GetExitCodeProcess(D,IpE);
TerminateProcess(D,IpE);
我在任务管理器上的SVCHOST.EXE PROCESSID 输入处理结果 IPE的返回值=0 无法处理
请问这个该怎么办！
还望各位高手顶力襄助！谢谢

回复人:hatedeadlock(雪男孩(41289435)) 二级(初级) 信誉:99 2004-11-15 21:06:06 得分:0

终止进程的内幕

--------------------------------------------------------------------------------
阅读:20874 时间:2004-11-3 5:40:22 来源:黑客基地编辑:古典辣M°　
　
pjf(jfpan20000@sina.com)

有来信询问进程结束的有关问题，下面就这个问题简单讨论一下（下面的讨论基于2000，其他NT系统也类似）。
首先看看一个应用程序想要强制结束另一个进程所要做的事：首先获得目标的进程ID，接着利用OpenProcess获取进程句柄（确保足够权限），最后将句柄传给TerminateProcess了结那个进程。
1、OpenProcess通过本机系统服务接口进入核心态，随后调用ntoskrnl的NtOpenProcess。在服务函数里，系统使用SeSinglePrivilegeCheck检查调用者是否有DEBUG权限（SeDebugPrivilege），若有，则修改AccessState使得在后面的操作中获取允许任意进程访问操作的句柄。最后通过ObOpenObjectByName或PsLookupProcess*** + ObOpenObjectByPointer来打开进程（创建并返回进程句柄）。
2、TerminateProcess通过本机系统服务接口进入核心态，随后调用ntoskrnl的NtTerminateProcess。系统首先调用ObReferenceObjectByHandle获取进程执行体块，执行体块的DebugPort指出进程是否处于调试状态，若处于调试状态且传入的ExitStatus为DBG_TERMINATE_PROCESS则返回失败禁止结束进程。随后服务函数转入正题：
系统利用ThreadListHead枚举进程的每一个线程，使用PspTerminateThreadByPointer来结束它们。注意并不是对每个线程系统都会忠实地执行你的命令：若枚举到的线程是系统线程则不会继续执行而是返回STATUS_INVALID_PARAMETER。判断的方法是线程的Teb为零或者Teb的值在内核地址空间。有人问2000下为何csrss.exe进程杀不死，很简单，打开IceSword，在进程栏利用右键菜单的“线程信息”看一下，看到那几个Teb为零的线程没有？（注意是针对windows2000，XP下不同。另外一点就是csrss中其它非系统线程的线程是很容易被杀死的，试图结束csrss时也可以看到在Teb为零的线程前面的线程已被杀掉，只是操作停在了Teb为零的线程这里）再看看system进程，呵呵。IceSword也并未提供杀除这种进程的功能，因为觉得没有需求。在最后一个线程结束时，进程的生命也结束了，随着PspExitProcess/ObKillProcess灰飞烟灭。
另一方面，线程是怎样结束的呢。PspTerminateThreadByPointer并不是直接“杀掉”指定线程，实质上线程是“自杀”的，呵呵。系统简单的使用KeInitializeApc/KeInsertQueueApc插入了一个核心态的APC调用，若是用户线程，会再插入用户态的APC调用，最终线程在自己的执行环境中使用PspExitThread（...=>KeTerminateThread=>KiSwapThread）悲壮的自行了断。
有人问起为什么IceSword有时杀不死除那三个有系统线程的进程（两个是csrss、system，而idle是个非常奇特的存在，与众不同，这里不多废话了）外的其它进程。从上面的讨论可以找到答案。这种情况往往是目标进程的某用户态线程进入核心态后，系统出了某些问题挂死在核心态，无法返回执行Apc例程的缘故。IceSword未强制除去它们是考虑此刻系统可能已经有某些问题，强制删除操作更有可能使系统崩溃，不过有了不少用户要求有这项功能，所以以后有空可能会加上（已经有一大堆杂七杂八的要求了，很难有时间升级一下版本，~_~）。
一般来说，要干掉一个进程，有了Debug权限就可以了，若别人有了保护，那就要发挥你的能力了。

可是我看得不是很明白！有没有朋友能不能帮忙将他转换成代码！谢谢