Win32 2

5、进程

进程是指运行中的一个程序。(X)

①什么是进程? 进程提供程序所需的资源,如:数据、代码等等。

程序运行起的状态与进程没有关系,举个例子,程序就相当于一个房子,进程就是其中的东西,而使用这些房子中的东西的人称为线程。

②进程内存空间的地址划分

分区 x86 32位Windows 空指针赋值区 0x00000000 -0x0000FFFF //操作系统都没有使用的空间 用户模式区 0x00010000-0x7FFEFFFF 64KB禁入区 0x7FFF0000-0x7FFFFFFF 内核 0x80000000-0xFFFFFFFF//实际上每个进程的内核都是相同 真正能够操作的空间为 2G - 128kb

③进程的创建: <1>任何进程都是别的进程创建的:CreateProcess() <2> 进程的创建过程 1、映射EXE文件 2、创建内核对象EPROCESS 3、映射系统DLL(ntdll.dll) 4、创建线程内核对象ETHREAD 5、系统启动线程(一个进程最少都有一个线程,用于执行程序) 映射DLL(ntdll.LdrlnitializeThunk) 线程开始执行

6、创建进程

进程的创建:

BOOL CreateProcess(
LPCTSTR IpApplicationName, // name of executable module
LPTSTR IpCommandLine, // command line string
LPSECURITY_ATTRIBUTES IpProcessAttributes, // SD
LPSECURITY_ATTRIBUTES IpThreadAttributes, //SD
BOOL blnheritHandles, // handle inheritance option
DWORD dwCreationFlags, // creation flags
LPVOID IpEnvironment, // new environment block
LPCTSTR IpCurrentDirectory, // current directory name
LPSTARTUPINFO IpStartupInfo, // startup information
LPPROCESS_INFORMATION IpProcessInformation // process information
);

//创建子进程 返回成功与失败

if (!CreateProcess(
szChildProcssName, //对象名称
szCommandLine, //命令行
NULL, //不继承进程句柄
NULL, //不继承线程句柄
FALSE, //不继承句柄
0, //没有创建标志
NULL, //使用父进程环境变量
NULL, //使用父进程目录作为当前目录,可以自己设置目录
&si, //STARTUPINFOw结构体详细信息
&pi) //PROCESS_INFORMATION结构体进程信息
)

szChildProcssName 实际上是完整的路径加上 exe 的名字,

 

&si即为 指向STARTUPINFO结构的指针,该结构指定新进程的主窗口应如何显示。

&pi相当于返回值,返回一个进程和一个线程。(其中结构体的成员为 进程ID、进程句柄和线程ID、线程句柄)

7、句柄表

① 什么是内核对象? 像进程、线程、文件、互斥体、事件等在内核都有一个对应的结构体,这些结构体由内核负责管理。我们管这样的对象叫做内核对象。

②如何管理内核对象

如果我们想要操作内核对象,操作系统是无法直接将内核对象的地址暴露给用户层或者应用层的,避免出现内存访问错误。例如进程,就会提供一个句柄表,表中的数据指向内核层中的内核对象。进而起到一个防火墙的作用,不会直接的暴露地址数据。而句柄的重要性主要在于,如果没有句柄就无法进行操作内核对象。每生成一个新的内核对象,句柄表中就会多一个索引。

④多进程共享一个内核对象

存在多个进程使用同一个内核对象,而这样会在各自的句柄表中生成新的一个索引,但具体的索引值可能不尽相同。(句柄表是一个私有的概念,是私有的一张表,每一张表只对当前的进程有意义)

内核对象被一个进程使用,就会有一个句柄索引,当多个进程使用内核对象,当句柄关闭,某个进程不再使用内核对象,内核对象的进程就会减少,如果还有进程使用,就不会消亡,直到没有一个进程使用,内核对象就会消亡。(所谓的一个计数器)

而线程这个结构体不同,如果想要将线程这个结构体关闭,必须要先关闭线程(即代码执行完毕),再将内核对象的计数器置为零,两个缺一不可。(利用句柄来操作内核对象 CloseHandle,进行关闭打开的一系列操作)

⑤句柄是否“可以”被继承

其实可以具物化的想象这个句柄表实际上是三列,一列是索引值,一列是内核对象的地址,一列是句柄表示是否可以被继承的数值。

举个例子:例如 CreateEvent 这个进程

HANDLE CreateEvent(
LPSECURITY ATTRIBUTES lpEventAttributes, // SD
BOOL hManualReset, // reset type
BOOL bInitialstate, //initial state
LPCTSTR IpName //object name
);

主要是第一个参数用于判断是否继承,如果不继承就设置为 NULL , 如果是需要继承就需要创建一个结构体对象。而第一个参数是一个指向另一个结构体的指针。

typedef struct _SECURITY_ATTRIBUTES {  
DWORD nLength;  
LPVOID lpSecurityDescriptor;  
BOOL bInheritHandle;
} SECURITY_ATTRIBUTES,  *PSECURITY_ATTRIBUTES,  *LPSECURITY_ATTRIBUTES;

我们想要设置句柄表能够继承的话,就需要创建一个对象。并设置初始化。

SECURITY_ATTRIBUTES sa;

ZeroMemory(&sa,sizeof(SECURITY_ATTRIBUTES));
sa.nlength = sizeof(SECURITY_ATTRIBUTES);
sa.bInheritHandle = TRUE;

CreateEvent(sa,FALSE,FALSE);//所以如果想继承的话,就将这个对象传进第一个参数。

这样的话,子进程就能继承父进程的句柄表。虽然不是完成得到,因为可能只有部分设置了可继承。但是如果子进程结构体中的成员 (不继承句柄),就不论父进程中的句柄表是否可以被继承,都不影响,子进程的句柄表。

 

⑥句柄是否“允许”被继承

于是我们就可以得到两种共享内核的解决方式,第一种就是OPEN函数来得到(同一个内核对象),第二种就是通过继承的方式。(实际上多数线程和进程都属于是内核对象,多数不继承父进程的句柄表,而当作为父进程的时候,多数将句柄表继承下去。)

8、进程相关API

① ID 与句柄

我们已经知道一个概念就是,如果我们利用 CreateProcess 函数创建了一个进程,将会给我们返回了四个数据。分别是进程编号,进程句柄,线程编号,线程句柄。句柄的一个概念是:当前进程私有的一个表中的索引(即为句柄表)。句柄都属于私有的,对于别的进程没有意义。

进程 ID 我们通常称为 PID (Process ID),句柄表这个表存储了这个进程打开了或者创建了的所有的内核对象。操作系统也有对应的一张表,称为全局句柄表,整个操作系统只有一份。其中包含了所有正在运行的进程和线程。和进程拥有的句柄表是相同的,也是包含一个索引和一个具体的地址。

进程句柄(hProcess)指的是,当前进程的句柄表所包含的索引,进程 ID(Process ID) 指的就是当前进程对应在全局句柄表中的索引。二者的区别就是进程句柄只对当前进程有意义,进程 ID 对于其他的进程也有意义。(相当于全局变量和局部变量的关系)

PID 是唯一的,一个进程(线程)对应的是一个 ID。但是有旧进程的消亡和新进程的增加,进程 ID 的特性就是唯一但并非不变。(唯一但非永远不变)

②以挂起的形式创建进程

BOOL CreateProcess(
LPCTSTR IpApplicationName, // name of executable module
LPTSTR IpCommandLine, // command line string
LPSECURITY_ATTRIBUTES IpProcessAttributes, //SD
LPSECURITY_ATTRIBUTES IpThreadAttributes, //SD
BOOL blnheritHandles, // handle inheritance option
DWORD dwCreationFlags, // creation flags
LPVOID IpEnvironment, // new environment block
LPCTSTR IpCurrentDirectory, // current directory name
LPSTARTUPINFO IpStartupInfo,// startup information
LPPROCESS_INFORMATION IpProcessInformation // process information
I

dwCreationFlags 这个成员也有许多的值,而我们最关键的一个就是 CREATE_SUSPENDED ,即为以挂起的形式创建一个进程。

创建进程的过程分为:先有一个 exe,映射 exe文件,创建内核对象(EPROCESS),映射系统DLL(htdll.dll),创建线程内核对象 ETHREAD,系统启动线程(映射DLL,线程开始执行)。

如果我们以挂起的形式创建线程的话,进程的创建过程就会发生变化:

<1>任何进程都是别的进程创建的:CreateProcess() <2> 进程的创建过程 1、映射EXE文件 2、创建内核对象EPROCESS 3、映射系统DLL(ntdll.dll) 4、创建线程内核对象ETHREAD 5、系统启动线程(一个进程最少都有一个线程,用于执行程序)//如果是以挂起的系统就不会启动线程,会在恢复之后再继续执行 映射DLL(ntdll.LdrlnitializeThunk) 线程开始执行

所以我们将进程挂起的话,我们就可以在启动线程之前(即为进程启动之前),实现我们想要实现的操作。然后我们再将线程恢复,利用 ResumeThread函数即可。

③模块目录与工作目录

char strModule[256];
GetModuleFileName(NULL,strModule, 256); //模块目录

char strWork[1000];
int i=1000;
GetCurrentDirectory(1000,buf); //工作目录

printf("模块目录: %sIn工作目录: %s In",strModule,strWork);

IpCurrentDirectory 这个成员,称为当前进程的工作目录。 GetModuleFileName这个 API 即指得到模块路径,你的exe在什么位置,得到的路径就是什么位置。其实较为固定的。 GetCurrentDirectory这个API 即为得到工作路径,这个路径是可以被修改的。因为这个工作路径是创建这个进程的人决定的。我们可以在 CreateProcess 中的进程目录进行自我修改,如果设置为NULL ,会自动的使用父进程目录作为当前目录。(可以理解为相对路径和绝对路径)

④其他进程相关 API:

获取进程 PID: GetCurrentProcessId 获取进程句柄: GetCurrentProcess 获取命令行: GetCommandLine 获取启动信息: GetStartupInfo 遍历进程 ID: EnumProcesses 快照 : CreateToolhelp32Snapshot(当调用这个函数,可以将当前系统中的重要信息保存下来,就可以分析当前模块、进程和线程)

热门相关:我的治愈系游戏   花月颂   裙上之臣   锦庭娇   上神来了