typedef struct _PROCESS_BASIC_INFORMATION {
PVOID Reserved1;
PPEB PebBaseAddress;
PVOID Reserved2[2];
ULONG_PTR UniqueProcessId;
PVOID Reserved3;
} PROCESS_BASIC_INFORMATION;
Reserved3即父进程id,类型为ULONG_PTR。
接下来才是重点:
每个进程在其生命周期内,系统底层都有一个EPROCESS与之一一对应,此EPROCESS中记录着此进程的父进程ID,但当其父进程生命周期结束时,此进程的EPROCESS并不会更新其父进程ID。
当我们通过PROCESS_BASIC_INFORMATION获取到一个进程P1的父进程的ID时,获取到的其实是P1被创建时创建者进程P1CREATER的id,此时,进程P1CREATER可能已经退出了,而且很有可能此id已被其他进程P2复用了,如果我们在自己的的逻辑层认为此id所对应的进程P2就是我们要找的进程P1的父进程,是不对的,因为进程P1的父进程应该是是进程P1CREATER。
我们需要做的是进一步获取此id此刻所对应进程P2的创建时间和进程P1的创建时间,如果进程P2的创建时间比进程P1的创建时间晚,此id是一个被复用的id,它所对应的进程P2并不是进程P1的父进程,相反,如果进程P2的创建时间比进程P1的创建时间早,则此id所对应的进程P2就是创建进程P1的进程,也就是进程P1的父进程。
综上所述,我们无法在一个进程正在运行时准确确定它的父进程是谁,但是我们可以监控进程的创建和退出,在进程创建和退出时准确记录进程父子关系。