如何获取其它程序的命令行参数

 

如何获取其它程序的命令行参数

整理：Ackarlix

下载源代码

开发环境： VC6 Windows XP
测试环境： WindowsXP

我们都知道，在程序里获取命令行参数很简单， WinMain 函数会以参数的形式传递给我们，或者可以调用 API GetCommandLine 获取。但是 GetCommandLine 函数不接受参数，获取的只是自己程序的命令行参数。那么如果我们想获取别的应用程序的命令行参数应该怎么办呢？
有的同学说，既然 GetCommandLine 只能获取本程序的命令行参数，我们可以在其它进程里插入一个 Dll ，在那个进程的地址空间调用 GetCommandLine 函数，然后传回来就可以了。这样好像有点儿不太友好。让我们想想还有没有别的办法。
我们想，自己的命令行参数既然随时都可以获取到，那么在该进程里一定有一个地方存放它。那么在哪儿呢？看一下 GetCommandLine 函数的反汇编代码，我们发现，原来世界是如此的美好！

以下是 WinXP 系统的 GetCommandLine 函数反汇编代码：

.text:7C812C8D GetCommandLineA proc near

.text:7C812C8D mov eax, dword_7C8835F4     //dword_7C8835F4 就是命令行参数字符串的地址

                        // 该指令机器码为 A1 F4 35 88 7C，从第2个字节开始的4个字节就是我们要的地址

.text:7C812C92 retn

.text:7C812C92 GetCommandLineA endp

既然知道了放在哪儿了，我们自己去拿就可以了。因为 GetCommandLine 函数的地址在各个进程内都是一样的，所以可以直接用我们进程里的地址。 win2000/xp 系统很简单， 98 下稍微麻烦一点儿，需要进行一些简单的计算。 以下是 GetCommandLine 函数在 win98 下的汇编代码：

.text:BFF8C907 GetCommandLineA proc near

.text:BFF8C907 mov eax, dword_BFFCADE4

.text:BFF8C90C mov ecx, [eax]

.text:BFF8C90E mov eax, [ecx+0C0h]

.text:BFF8C914 test eax, eax

.text:BFF8C916 jnz short locret_BFF8C91E

.text:BFF8C918 mov eax, [ecx+40h]

.text:BFF8C91B mov eax, [eax+8] // 算到这儿，才是我们想要的地址

.text:BFF8C91E

.text:BFF8C91E locret_BFF8C91E: ; CODE XREF: GetCommandLineA+F.

.text:BFF8C91E retn

这样，我们就可以调用 OpenProcess 函数打开其它进程，然后用 ReadProcessMemory 读取相应的数据即可。 示例代码：

DWORD g_GetCmdLine(DWORD dwPID,TCHAR* pCmdLine,DWORD dwBufLen)

{

#define BUFFER_LEN    512        //reading buffer for the commandline

 

    HANDLE hProc = OpenProcess(PROCESS_VM_READ,FALSE,dwPID);

    if(hProc == NULL)

    {

        return GetLastError();

    }

    

    DWORD dwRet = -1;

    DWORD dwAddr = *(DWORD*)((DWORD)GetCommandLine + 1);// 第2个字节开始才是我们要读的地址

    TCHAR tcBuf[BUFFER_LEN] = {0};

    DWORD dwRead = 0;

    

    // 判断平台

    DWORD dwVer = GetVersion();

    try

    {

        if(dwVer < 0x80000000)        // Windows NT/2000/XP

        {

            if(ReadProcessMemory(hProc,(LPVOID)dwAddr,&dwAddr,4,&dwRead))

            {

                if(ReadProcessMemory(hProc,(LPVOID)dwAddr,tcBuf,BUFFER_LEN,&dwRead))

                {

                    _tcsncpy(pCmdLine,tcBuf,dwBufLen);    // 最好检查一下dwRead和dwBufLen的大小，使用较小的那个

                    dwRet = 0;

                }

            }        

        }

        else                        // Windows 95/98/Me    and Win32s

        {

            while(true)                // 使用while是为了出错时方便跳出循环

            {

                if(!ReadProcessMemory(hProc,(LPVOID)dwAddr,&dwAddr,4,&dwRead)) break;

                if(!ReadProcessMemory(hProc,(LPVOID)dwAddr,&dwAddr,4,&dwRead)) break;

                

                if(!ReadProcessMemory(hProc,(LPVOID)(dwAddr + 0xC0),tcBuf,BUFFER_LEN,&dwRead)) break;

                if(*tcBuf == 0)

                {

                    if(!ReadProcessMemory(hProc,(LPVOID)(dwAddr + 0x40),&dwAddr,4,&dwRead)) break;

                    if(!ReadProcessMemory(hProc,(LPVOID)(dwAddr + 0x8),&dwAddr,4,&dwRead)) break;

                    if(!ReadProcessMemory(hProc,(LPVOID)dwAddr,tcBuf,BUFFER_LEN,&dwRead)) break;

                }

                

                _tcsncpy(pCmdLine,tcBuf,dwBufLen);    // 最好检查一下dwRead和dwBufLen的大小，使用较小的那个

                dwRet = 0;

                break;

            }

        }

    }

    catch(...)

    {

        dwRet = ERROR_INVALID_ACCESS;    //exception

    }

    CloseHandle(hProc);

    

    return dwRet;

}