Ring 3层枚举进程的四种方法

最新推荐文章于 2025-03-24 07:51:34 发布

ToringZZZ

最新推荐文章于 2025-03-24 07:51:34 发布

阅读量6.4k

点赞数 2

分类专栏： c/c++ windows编程文章标签： Windows枚举进程

本文链接：https://blog.youkuaiyun.com/sinat_34260423/article/details/54236801

版权

本文详细介绍了在Windows环境下枚举进程的四种方法：1) 使用CreateToolhelp32Snapshot()；2) 利用EnumProcesses()；3) 通过WTSEnumerateProcesses()；4) 通过ZwQuerySystemInformation()。每种方法都提供了相应的C++代码示例，展示了如何获取和打印进程ID及名称。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.CreateToolhelp32Snapshot（）。这一种是比较常见的，利用进程快照进行枚举进程，主要利用CreateToolhelp32Snapshot（）、Process32First（）和 Process32Next（）三个函数。下面直接上代码：

// CreateToolhelp32Snapshot.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <Windows.h>
#include <tlhelp32.h>

int main()
{
	//创建快照句柄，CreateToolhelp32Snapshot（）函数返回当前运行的进程快照句柄
	HANDLE ToolHelpHandle = NULL;

	//PROCESSENTRY32结构体记录当前进程的一些信息，其中dwSize必须指定大小，大小为当前结构体大小
	PROCESSENTRY32 ProcessEntry32 = { 0 };
	ProcessEntry32.dwSize = sizeof(PROCESSENTRY32);
	
	ToolHelpHandle = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
	if (ToolHelpHandle == INVALID_HANDLE_VALUE)
	{
		return FALSE;
	}
	
	BOOL bOk = Process32First(ToolHelpHandle, &ProcessEntry32);
	while (bOk)
	{
		printf("PID:\t0x%X,", ProcessEntry32.th32ProcessID);
		printf("\tName:\t%S\r\n", ProcessEntry32.szExeFile);
		bOk = Process32Next(ToolHelpHandle, &ProcessEntry32);
	}

	CloseHandle(ToolHelpHandle);
	ToolHelpHandle = INVALID_HANDLE_VALUE;
    return 0;
}

2.EnumProcesses（）。利用Psapi下EnumProcesses（）函数进行枚举进程，该方法有可能得不到某些进程的名称，下面是代码：

#include "stdafx.h"
#include <Windows.h>
#include <Psapi.h>

#define MAXPROCESSES 1024

void PrintProcessNameAndID(DWORD ProcessID);
int main()
{
	// 定义参数，EnumProcesses有三参数，接收进程标示符的数组，数组大小，数组返回字节数（真实接收数组的大小）

	DWORD Processes[MAXPROCESSES], Size, ProcessesNumber;

	if (!EnumProcesses(Processes, sizeof(Processes), &Size))
	{
		return 1;
	}


	//计算进程总数

	ProcessesNumber = Size / sizeof(DWORD);

	//打印各个进程

	for (int i = 0; i < ProcessesNumber; i++)
	{
		if (Processes[i] !=

最低0.47元/天解锁文章