VC实现进程遍历的四种方法

来源：互联网发布："自己"网络谐音编辑：程序博客网时间：2024/05/01 17:07

ref : http://pegasus827.bokee.com/6213525.html这哥哥也是转的,没有写出处, :-)方法一第一种方法是大家比较熟悉的通过ToolHelp Service提供的API函数来实现。这里用到了3个关键的函数：CreateToolhelp32Snapshot()，Process32First()和Process32Next()。下面给出了关于这三个函数的原形和参数说明; HANDLE WINAPI CreateToolhelp32Snapshot( DWORD dwFlags, //系统快照要查看的信息类型 DWORD th32ProcessID //值0表示当前进程 ); BOOL WINAPI Process32First( HANDLE hSnapshot, //CreateToolhelp32Snapshot()创建的快照句柄 LPPROCESSENTRY32 lppe //指向进程入口结构 ); BOOL WINAPI Process32Next( HANDLE hSnapshot, //这里参数同Process32First LPPROCESSENTRY32 lppe //同上 ); 首先使用CreateToolhelp32Snapshot()创建系统快照句柄（hprocess是我们声明用来保存创建的快照句柄）： hProcess=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0); 然后调用Process32First()获得系统快照中的第一个进程信息（Report是BOOL型作为判断系统快照中下一条进程记录）： report=Process32First(hProcess,pinfo); 接着用一个循环调用来遍历系统中所有运行的进程： while(report) { hModule=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,pinfo->th32ProcessID); Module32First(hModule, minfo); GetShortPathName(minfo->szExePath,shortpath,256); printf("%s --- %s ",pinfo->szExeFile,shortpath); report=Process32Next(hProcess, pinfo); } 笔者曾通过对Pstools工具包里的Pslist.exe反编译，发现该工具用的就是这种方法。如果你查询MSDN，可以找到一个比这个功能更加完善的源程序。方法二第二种方法也很常见，通过MSDN就可以找到例子代码，它是通过Psapi.dll提供的API函数EnumProcesses和EnumProcessModules来实现。有一点要说明的是，Visual Studio提供的SDK包里没有提供相应的Psapi.h和与之相对应的导入库，笔者当时就很纳闷，MSDN里的例子居然编译不通，后来才发现，编译时根本找不到“psapi.h”。呵呵，还好，MSDN至少告诉我们他们都包含Psapi.dll里，用VC自带的Depend工具一查，果然。这样就好办了，我们可以自己找到这些函数入口地址。小知识：C也好C++也好，一般的函数名本质上都是一个地址，在Win32的API里，它是指向函数所在Dll模块里函数实现的入口地址。下面是第二种方法的实现过程：首先，先把Psapi.dll里要用到函数都定义好，方便后面显示调用。 //在psaipi.dll中的函数EnumProcesses用来枚举进程 typedef BOOL (_stdcall *ENUMPROCESSES)( //注意这里要指明调用约定为-stdcall DWORD* pProcessIds, //指向进程ID数组链 DWORD cb, //ID数组的大小，用字节计数 DWORD* pBytesReturned); //返回的字节 //在psapi.dll中的函数EnumProcessModules用来枚举进程模块 typedef BOOL (_stdcall *ENUMPROCESSMODULES)( HANDLE hProcess, //进程句柄 HMODULE* lphModule, //指向模块句柄数组链 DWORD cb, //模块句柄数组大小，字节计数 LPDWORD lpcbNeeded); //存储所有模块句柄所需的字节数 //在psapi.dll中的函数GetModuleFileNameEx获得进程模块名 2 四种方法实现VC枚举系统当前进程 typedef DWORD (_stdcall *GETMODULEFILENAMEEX)( HANDLE hProcess, //进程句柄 HMODULE hModule, //进程句柄 LPTSTR lpFilename, //存放模块全路径名 DWORD nSize //lpFilename缓冲区大小，字符计算 ); 好，通过每个定义的函数前的注释你可以清楚看到这些原函数名，然后当然要加载包含这些函数模块Psapi.dll啦： hPsDll = LoadLibrary("PSAPI.DLL"); 接着，通过Dll入口，我们查找每个函数地址： pEnumProcesses = (ENUMPROCESSES)GetProcAddress(hPsDll, "EnumProcesses"); pEnumProcessModules = (ENUMPROCESSMODULES)GetProcAddress(hPsDll, "EnumProcessModules"); pGetModuleFileNameEx = (GETMODULEFILENAMEEX)GetProcAddress(hPsDll, "GetModuleFileNameExA"); 注意第三个函数名GetModuleFileNameExA，在Dll里有以A和W结尾区分函数，A指采用的是ANSI字符串方式，W则是UNICODE方式。于是，我们可以用下面的语句枚举进程： pEnumProcesses(processid, sizeof(processid), &needed); processcount=needed/sizeof(DWORD); for (i=0;iNextEntryDelta == 0) //如果是最后一条，则终止循环。 break; pSystemProcessInformation=(SYSTEM_PROCESS_INFORMATION*)((PCHAR)pSystemProcessInformation+ pSystemProcessInformation->NextEntryDelta); pProcessName = (char *)malloc(pSystemProcessInformation->ProcessName.Length + 2); } 特别注意的是，这里SYSTEM_PROCESS_INFORMATION结构里进程名的类型为UNICODE_STRING, 而UNICODE_STRING里的成员Buffer定义的是Unicode类型。 typedef struct _SYSTEM_PROCESS_INFORMATION { DWORD NextEntryDelta; DWORD dThreadCount; DWORD dReserved01; DWORD dReserved02; DWORD dReserved03; DWORD dReserved04; DWORD dReserved05; DWORD dReserved06; FILETIME ftCreateTime; /* relative to 01-01-1601 */ FILETIME ftUserTime; /* 100 nsec units */ FILETIME ftKernelTime; /* 100 nsec units */ UNICODE_STRING ProcessName; //这就是进程名 DWORD BasePriority; DWORD dUniqueProcessId; //进程ID DWORD dParentProcessID; DWORD dHandleCount; DWORD dReserved07; DWORD dReserved08; DWORD VmCounters; DWORD dCommitCharge; PVOID ThreadInfos[1]; } SYSTEM_PROCESS_INFORMATION, *PSYSTEM_PROCESS_INFORMATION; typedef struct _UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer; //注意，这里为Unicode类型 } UNICODE_STRING, *PUNICODE_STRING; 所以，最后我们要调用WideCharToMultiByte（）来还原成ANSI字符串以便输出： WideCharToMultiByte(CP_ACP, 0, pSystemProcessInformation->ProcessName.Buffer, pSystemProcessInformation->ProcessName.Length + 1, pProcessName, pSystemProcessInformation->ProcessName.Length + 1, NULL, NULL);