Win32 2
5、进程
进程是指运行中的一个程序。（X）
①什么是进程？ 进程提供程序所需的资源,如:数据、代码等等。
程序运行起的状态与进程没有关系，举个例子，程序就相当于一个房子，进程就是其中的东西，而使用这些房子中的东西的人称为线程。
②进程内存空间的地址划分
分区 x86 32位Windows 空指针赋值区 0x00000000 -0x0000FFFF //操作系统都没有使用的空间 用户模式区 0x00010000-0x7FFEFFFF 64KB禁入区 0x7FFF0000-0x7FFFFFFF 内核 0x80000000-0xFFFFFFFF//实际上每个进程的内核都是相同 真正能够操作的空间为 2G - 128kb
③进程的创建： <1>任何进程都是别的进程创建的：CreateProcess() <2> 进程的创建过程 1、映射EXE文件 2、创建内核对象EPROCESS 3、映射系统DLL(ntdll.dll) 4、创建线程内核对象ETHREAD 5、系统启动线程（一个进程最少都有一个线程，用于执行程序） 映射DLL(ntdll.LdrlnitializeThunk) 线程开始执行
6、创建进程
进程的创建：
BOOL CreateProcess(
LPCTSTR IpApplicationName, // name of executable module
LPTSTR IpCommandLine, // command line string
LPSECURITY_ATTRIBUTES IpProcessAttributes, // SD
LPSECURITY_ATTRIBUTES IpThreadAttributes, //SD
BOOL blnheritHandles, // handle inheritance option
DWORD dwCreationFlags, // creation flags
LPVOID IpEnvironment, // new environment block
LPCTSTR IpCurrentDirectory, // current directory name
LPSTARTUPINFO IpStartupInfo, // startup information
LPPROCESS_INFORMATION IpProcessInformation // process information
);
//创建子进程 返回成功与失败
if (!CreateProcess(
szChildProcssName, //对象名称
szCommandLine, //命令行
NULL, //不继承进程句柄
NULL, //不继承线程句柄
FALSE, //不继承句柄
0, //没有创建标志
NULL, //使用父进程环境变量
NULL, //使用父进程目录作为当前目录,可以自己设置目录
&si, //STARTUPINFOw结构体详细信息
&pi) //PROCESS_INFORMATION结构体进程信息
)
szChildProcssName 实际上是完整的路径加上 exe 的名字，
&si即为 指向STARTUPINFO结构的指针，该结构指定新进程的主窗口应如何显示。
&pi相当于返回值，返回一个进程和一个线程。（其中结构体的成员为 进程ID、进程句柄和线程ID、线程句柄）
7、句柄表
① 什么是内核对象？ 像进程、线程、文件、互斥体、事件等在内核都有一个对应的结构体,这些结构体由内核负责管理。我们管这样的对象叫做内核对象。 
②如何管理内核对象
如果我们想要操作内核对象，操作系统是无法直接将内核对象的地址暴露给用户层或者应用层的，避免出现内存访问错误。例如进程，就会提供一个句柄表，表中的数据指向内核层中的内核对象。进而起到一个防火墙的作用，不会直接的暴露地址数据。而句柄的重要性主要在于，如果没有句柄就无法进行操作内核对象。每生成一个新的内核对象，句柄表中就会多一个索引。
④多进程共享一个内核对象
存在多个进程使用同一个内核对象，而这样会在各自的句柄表中生成新的一个索引，但具体的索引值可能不尽相同。（句柄表是一个私有的概念，是私有的一张表，每一张表只对当前的进程有意义）
内核对象被一个进程使用，就会有一个句柄索引，当多个进程使用内核对象，当句柄关闭，某个进程不再使用内核对象，内核对象的进程就会减少，如果还有进程使用，就不会消亡，直到没有一个进程使用，内核对象就会消亡。（所谓的一个计数器）
而线程这个结构体不同，如果想要将线程这个结构体关闭，必须要先关闭线程(即代码执行完毕)，再将内核对象的计数器置为零，两个缺一不可。（利用句柄来操作内核对象 CloseHandle，进行关闭打开的一系列操作）
⑤句柄是否“可以”被继承
其实可以具物化的想象这个句柄表实际上是三列，一列是索引值，一列是内核对象的地址，一列是句柄表示是否可以被继承的数值。
举个例子：例如 CreateEvent 这个进程
HANDLE CreateEvent(
LPSECURITY ATTRIBUTES lpEventAttributes, // SD
BOOL hManualReset, // reset type
BOOL bInitialstate, //initial state
LPCTSTR IpName //object name
);
主要是第一个参数用于判断是否继承，如果不继承就设置为 NULL , 如果是需要继承就需要创建一个结构体对象。而第一个参数是一个指向另一个结构体的指针。
typedef struct _SECURITY_ATTRIBUTES {
DWORD nLength;
LPVOID lpSecurityDescriptor;
BOOL bInheritHandle;
} SECURITY_ATTRIBUTES, *PSECURITY_ATTRIBUTES, *LPSECURITY_ATTRIBUTES;
我们想要设置句柄表能够继承的话，就需要创建一个对象。并设置初始化。
SECURITY_ATTRIBUTES sa;
ZeroMemory(&sa,sizeof(SECURITY_ATTRIBUTES));
sa.nlength = sizeof(SECURITY_ATTRIBUTES);
sa.bInheritHandle = TRUE;
CreateEvent(sa,FALSE,FALSE);//所以如果想继承的话，就将这个对象传进第一个参数。
这样的话，子进程就能继承父进程的句柄表。虽然不是完成得到，因为可能只有部分设置了可继承。但是如果子进程结构体中的成员 （不继承句柄），就不论父进程中的句柄表是否可以被继承，都不影响，子进程的句柄表。
⑥句柄是否“允许”被继承
于是我们就可以得到两种共享内核的解决方式，第一种就是OPEN函数来得到（同一个内核对象），第二种就是通过继承的方式。（实际上多数线程和进程都属于是内核对象，多数不继承父进程的句柄表，而当作为父进程的时候，多数将句柄表继承下去。）
8、进程相关API
① ID 与句柄
我们已经知道一个概念就是，如果我们利用 CreateProcess 函数创建了一个进程，将会给我们返回了四个数据。分别是进程编号，进程句柄，线程编号，线程句柄。句柄的一个概念是：当前进程私有的一个表中的索引（即为句柄表）。句柄都属于私有的，对于别的进程没有意义。
进程 ID 我们通常称为 PID （Process ID），句柄表这个表存储了这个进程打开了或者创建了的所有的内核对象。操作系统也有对应的一张表，称为全局句柄表，整个操作系统只有一份。其中包含了所有正在运行的进程和线程。和进程拥有的句柄表是相同的，也是包含一个索引和一个具体的地址。
进程句柄（hProcess）指的是，当前进程的句柄表所包含的索引，进程 ID（Process ID） 指的就是当前进程对应在全局句柄表中的索引。二者的区别就是进程句柄只对当前进程有意义，进程 ID 对于其他的进程也有意义。（相当于全局变量和局部变量的关系）
PID 是唯一的，一个进程（线程）对应的是一个 ID。但是有旧进程的消亡和新进程的增加，进程 ID 的特性就是唯一但并非不变。（唯一但非永远不变）
②以挂起的形式创建进程
BOOL CreateProcess(
LPCTSTR IpApplicationName, // name of executable module
LPTSTR IpCommandLine, // command line string
LPSECURITY_ATTRIBUTES IpProcessAttributes, //SD
LPSECURITY_ATTRIBUTES IpThreadAttributes, //SD
BOOL blnheritHandles, // handle inheritance option
DWORD dwCreationFlags, // creation flags
LPVOID IpEnvironment, // new environment block
LPCTSTR IpCurrentDirectory, // current directory name
LPSTARTUPINFO IpStartupInfo,// startup information
LPPROCESS_INFORMATION IpProcessInformation // process information
I
dwCreationFlags 这个成员也有许多的值，而我们最关键的一个就是 CREATE_SUSPENDED ，即为以挂起的形式创建一个进程。
创建进程的过程分为：先有一个 exe，映射 exe文件，创建内核对象（EPROCESS），映射系统DLL(htdll.dll),创建线程内核对象 ETHREAD，系统启动线程（映射DLL，线程开始执行）。
如果我们以挂起的形式创建线程的话，进程的创建过程就会发生变化：
<1>任何进程都是别的进程创建的：CreateProcess() <2> 进程的创建过程 1、映射EXE文件 2、创建内核对象EPROCESS 3、映射系统DLL(ntdll.dll) 4、创建线程内核对象ETHREAD 5、系统启动线程（一个进程最少都有一个线程，用于执行程序）//如果是以挂起的系统就不会启动线程，会在恢复之后再继续执行 映射DLL(ntdll.LdrlnitializeThunk) 线程开始执行
所以我们将进程挂起的话，我们就可以在启动线程之前（即为进程启动之前），实现我们想要实现的操作。然后我们再将线程恢复，利用 ResumeThread函数即可。
③模块目录与工作目录
char strModule[256];
GetModuleFileName(NULL,strModule, 256); //模块目录
char strWork[1000];
int i=1000;
GetCurrentDirectory(1000,buf); //工作目录
printf("模块目录: %sIn工作目录: %s In",strModule,strWork);
IpCurrentDirectory 这个成员，称为当前进程的工作目录。 GetModuleFileName这个 API 即指得到模块路径，你的exe在什么位置，得到的路径就是什么位置。其实较为固定的。 GetCurrentDirectory这个API 即为得到工作路径，这个路径是可以被修改的。因为这个工作路径是创建这个进程的人决定的。我们可以在 CreateProcess 中的进程目录进行自我修改，如果设置为NULL ,会自动的使用父进程目录作为当前目录。（可以理解为相对路径和绝对路径）
④其他进程相关 API：
获取进程 PID: GetCurrentProcessId 获取进程句柄: GetCurrentProcess 获取命令行: GetCommandLine 获取启动信息: GetStartupInfo 遍历进程 ID: EnumProcesses 快照 : CreateToolhelp32Snapshot(当调用这个函数，可以将当前系统中的重要信息保存下来，就可以分析当前模块、进程和线程)