遍历进程的4种方法

http://blog.youkuaiyun.com/windless0530/article/details/5496879

原贴也是转帖，只不过此人没给原链接……

http://pegasus827.bokee.com/6213525.html

 

P.S. 在98系统上，估计只有第一种方法有效。

 

 

方法一

 

第一种方法是大家比较熟悉的通过ToolHelp Service提供的API函数来实现。这里用到了3个关键的函数：CreateToolhelp32Snapshot()，Process32First()和Process32Next()。下面给出了关于这三个函数的原形和参数说明;

 

[cpp]  view plain copy

1. HANDLE WINAPI CreateToolhelp32Snapshot(   
2.     DWORD dwFlags, //系统快照要查看的信息类型   
3.     DWORD th32ProcessID      //值0表示当前进程   
4. );   
5. BOOL WINAPI Process32First(   
6.     HANDLE hSnapshot,        //CreateToolhelp32Snapshot()创建的快照句柄   
7.     LPPROCESSENTRY32 lppe  //指向进程入口结构   
8. );   
9. BOOL WINAPI Process32Next(   
10.     HANDLE hSnapshot,        //这里参数同Process32First   
11.     LPPROCESSENTRY32 lppe  //同上   
12. );  

 

首先使用CreateToolhelp32Snapshot()创建系统快照句柄（hprocess是我们声明用来保存创建的快照句柄），

然后调用Process32First()获得系统快照中的第一个进程信息（Report是BOOL型作为判断系统快照中下一条进程记录）：

[cpp]  view plain copy

1. hProcess=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);   
2. report=Process32First(hProcess,pinfo);   

 

接着用一个循环调用来遍历系统中所有运行的进程：

[cpp]  view plain copy

1. while(report) {   
2.     hModule=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,pinfo->th32ProcessID);   
3.     Module32First(hModule, minfo);    
4.     GetShortPathName(minfo->szExePath,shortpath,256);   
5.     printf("%s --- %s ",pinfo->szExeFile,shortpath);   
6.     report=Process32Next(hProcess, pinfo);      
7. }  

 

笔者曾通过对Pstools工具包里的Pslist.exe反编译，发现该工具用的就是这种方法。如果你查询MSDN，可以找到一个比这个功能更加完善的源程序。

 

方法二

 

（EnumProcesses、EnumProcessModules、GetModuleBaseName……本人略去……见本人另一贴“遍历进程、杀进程‘）

 

 

方法三

也许你会说前两种方法全世界都知道了，没什么大不了的！呵呵，那么笔者现在介绍的第三种方法，你就未必知道了。本方法利用了Windows NT/2000下终端服务API函数WTSOpenServer()和WTSEnumerateProcess()来实现，这两个函数都定义在Wtsapi32.dll里。具体的关于终端服务方面的知识，大家可以查询MSDN。 
首先，我们来显示申明这两个函数原形： 

[cpp]  view plain copy

1. typedef HANDLE (_stdcall *WTSOPENSERVER)(  
2.     LPTSTR pServerName //NetBios指定的终端服务名，如果我们查看本地终端所有进程信息我们可以通过在控制台命令行下用nbtstat –an来获取本机NetBios名。如图3所示。   
3. );   

  

和前面一样，要先装载Wtsapi32.dll模块，获取关键函数地址，通过Argv[1]给终端服务名（这里我们赋本机NetBios名）赋一个值并打开这项服务：

[cpp]  view plain copy

1. hWtsApi32 = LoadLibrary("wtsapi32.dll");   
2. pWtsOpenServer = (WTSOPENSERVER)GetProcAddress(hWtsApi32, "WTSOpenServerA");   
3. pWtsEnumerateProcesses = (WTSENUMERATEPROCESSES)GetProcAddress(hWtsApi32,"WTSEnumerateProcessesA");  

 

通过Argv[1]给终端服务名（这里我们赋本机NetBios名）赋一个值并打开这项服务，然后开始遍历终端服务器上的所有进程，这里我们是指本机的所有进程 

[cpp]  view plain copy

1. if(!pWtsEnumerateProcesses(hWtsServer, 0, 1, &pWtspi, &dwCount)) {   
2.     printf("enum processes error: %d ", GetLastError());   
3.     return;   
4. };   
5.     
6. for (int i = 0; i < dwCount; i++) {  
7.     // ...  
8. }  

 

怎么样，酷吧，跟前面两种方法效果一样！

 

方法四

 

最后笔者介绍一种最少人用的方法，本方法是从“幻影旅团”论坛上看到的。后面给出的源代码也是从他们那拷贝过来的。呵呵，这种方法也提供给我们一种很好的思路。

这第四种方法利用了Native Api的NtQuerySystemInformation函数来实现。同样没有该函数的导入库，也要自己定义原形。整个实现不难，可是有点烦，因为在该函数参数结构上，笔者通查MSDN查了很久才找到这些相关的结构，下面我们来看看这个方法的实现吧。 
先是自定义函数原形：

[cpp]  view plain copy

1. typedef NTSTATUS (__stdcall *PZWQUERYSYSTEMINFORMATION)    
2.                  (IN SYSTEM_INFORMATION_CLASS SystemInformationClass,     
3.                   IN OUT PVOID SystemInformation,     
4.                   IN ULONG SystemInformationLength,     
5.                   OUT PULONG ReturnLength);   

然后，还是和前面一样，要找到ZwQuerySystemInformation在Ntdll.dll模块里的入口地址，获得指向进程信息数组链的第一条进程信息： 

[cpp]  view plain copy

1. hModule = GetModuleHandle((LPCTSTR)"ntdll.dll");   
2. pZwQuerySystemInformation =(PZWQUERYSYSTEMINFORMATION)   
3. GetProcAddress(hModule, (LPCTSTR)"ZwQuerySystemInformation");   
4. pSystemProcessInformation = (SYSTEM_PROCESS_INFORMATION *)pvProcessList;  

 

和方法一方法二一样，在获得第一条进程信息后，开始循环遍历，列出其余的进程： 

[cpp]  view plain copy

1. while (TRUE)    
2.     {    
3.         if (pSystemProcessInformation->NextEntryDelta == 0) //如果是最后一条，则终止循环。   
4.             break;                                      
5.         pSystemProcessInformation=(SYSTEM_PROCESS_INFORMATION*)((PCHAR)pSystemProcessInformation+ pSystemProcessInformation->NextEntryDelta);    
6.         pProcessName = (char *)malloc(pSystemProcessInformation->ProcessName.Length + 2);    
7. }  

 

特别注意的是，这里SYSTEM_PROCESS_INFORMATION结构里进程名的类型为UNICODE_STRING, 而UNICODE_STRING里的成员Buffer定义的是Unicode类型。 

[cpp]  view plain copy

1. typedef struct _SYSTEM_PROCESS_INFORMATION     
2. {     
3.     DWORD NextEntryDelta;     
4.     DWORD dThreadCount;     
5.     DWORD dReserved01;     
6.     DWORD dReserved02;     
7.     DWORD dReserved03;     
8.     DWORD dReserved04;     
9.     DWORD dReserved05;     
10.     DWORD dReserved06;     
11.     FILETIME ftCreateTime; /* relative to 01-01-1601 */     
12.     FILETIME ftUserTime; /* 100 nsec units */     
13.     FILETIME ftKernelTime; /* 100 nsec units */     
14.     UNICODE_STRING ProcessName;      //这就是进程名   
15.     DWORD BasePriority;     
16.     DWORD dUniqueProcessId;            //进程ID   
17.     DWORD dParentProcessID;     
18.     DWORD dHandleCount;     
19.     DWORD dReserved07;     
20.     DWORD dReserved08;     
21.     DWORD VmCounters;     
22.     DWORD dCommitCharge;     
23.     PVOID ThreadInfos[1];    
24. } SYSTEM_PROCESS_INFORMATION, *PSYSTEM_PROCESS_INFORMATION;  
25. typedef struct _UNICODE_STRING {    
26.   USHORT Length;    
27.   USHORT MaximumLength;    
28.   PWSTR  Buffer;                 //注意，这里为Unicode类型   
29. } UNICODE_STRING, *PUNICODE_STRING;  

 

所以，最后我们要调用WideCharToMultiByte（）来还原成ANSI字符串以便输出： 

[cpp]  view plain copy

1. WideCharToMultiByte(CP_ACP,     
2.                       0,    
3.                     pSystemProcessInformation->ProcessName.Buffer,    
4.                     pSystemProcessInformation->ProcessName.Length + 1,    
5.                     pProcessName,    
6.                     pSystemProcessInformation->ProcessName.Length + 1,    
7.                     NULL,    
8.                     NULL);