纵谈进程的枚举.docVIP

纵谈进程枚举 进程与DLL的基础知识 大家知道，Windows 98/2000/XP都是多任务操作系统。所谓多任务，就是系统中可以同时运行多个进程。而所谓进程，就是应用程序的运行实例。通俗地讲，进程就是一个运行起来的.EXE程序。 系统中的进程都用一个DWORD类型的数据来唯一标识，我们称之为PID。即使同一个应用程序运行多个实例，它们的PID也是不一样的。另外，进程拥有自己私有的虚拟地址空间，进程与进程之间不会相互干扰；每个进程都至少包含一条线程。 那么，DLL与进程又有什么关系呢？大家知道，自Windows诞生之日起，Windows操作系统就使用DLL来支持公共函数调用。DLL中实现的函数代码不出现在.EXE文件中，但可以被各个进程所使用。 使用DLL的好处包括： 1) 可以显著地减小每个组件的大小（特别是对于一些大型软件系统）。 2) 使升级更为简单。如果我们想要使用新版本的函数，改变DLL中的函数后，只需重新编译DLL项目，然后再连接使用该函数的各个应用程序；而应用程序本身不需要重新编译。 3) 便于功能模块化，乃至开发任务的团队协作。 一般来说，一个进程总是调用这个或那个DLL中的函数。进程与DLL是一种依赖关系。在我们的演示程序中，我们不仅要做进程枚举，我们还要来揭示进程与DLL的这种依赖关系。演示程序的用户界面如下： 图1 演示程序之用户界面 好了，言归正转，我们直奔主题。接下去，我们就来逐一介绍各种进程枚举方法。 方法一：使用工具库（Tool Help Library）函数 这是一种历史最悠久、也是最基本的方法（从Windows 95开始就支持这种方法）。这些API函数中，最重要的当属CreateToolhelp32Snapshot，它的函数原型如下： HANDLE WINAPI CreateToolhelp32Snapshot( DWORD dwFlags, DWORD th32ProcessID ); 这个函数的功能就是给系统拍快照。拍照的对象由参数dwFlags决定，比如dwFlags值为TH32CS_SNAPPROCESS表示对象为系统中的所有进程，值为TH32CS_SNAPMODULE表示对象为由th32ProcessID参数指定的进程调用的所有模块（也就是DLL）。 当调用CreateToolhelp32Snapshot函数给指定的对象拍完快照之后，我们就可以使用Process32First、Process32Next、Module32First、Module32Next等函数进行取片工作了，就是遍历刚才拍下来的所有进程、进程调用的所有模块。 我们的演示程序提供了完整的代码实现： BOOL CToolHelpSpy::BuildProcessList(void) { // 给系统中所有进程拍快照 HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); if (hProcessSnap == INVALID_HANDLE_VALUE) { return FALSE; } PROCESSENTRY32 pe32 = {0}; pe32.dwSize = sizeof(PROCESSENTRY32); // 遍历拍下来的所有进程 if (Process32First(hProcessSnap, pe32)) { do { if (pe32.th32ProcessID strcmp(pe32.szExeFile, System)) { // 保存进程的名字、PID CProcessItem processItem; processItem.SetProcessName(pe32.szExeFile); processItem.SetProcessId(pe32.th32ProcessID); // 加入列表保存 mProcList.AddTail(processItem); } } while (Process32Next(hProcessSnap, pe32)); } CloseHandle(hProcessSnap