explorer被杀掉又会重启的问题

声明：

         本帖原文来自： http://xx.happy369.com/Html/guzhangjj/050528134.htm

                                 和http://xx.happy369.com/Html/guzhangjj/050528298.htm

原文如下：

我很早就发现一个奇怪的现象了，如果你使用任务管理器杀死Explorer.EXE，Windows不会将Explorer.EXE自动唤起，但是如果你自己使用TerminateProcess() 函数结束Explorer.EXE进程，你会发现一个奇怪的现象：被杀死的Explorer.EXE又被Windows自动唤醒了。

在描述具体原因之前，简单介绍一下Explorer.EXE。Explorer.EXE作为Windows Shell的组件之一，主要的用途包括有：

1. 显示桌面、任务栏
2. 提供图形化的文件操作方式（例如大家熟知的资源管理器）
3. ……

总而言之，没有Explorer.EXE的Windows不是不能运作，而是操作很不方便。

作为Windows Shell重要的一环，Explorer.EXE的启动由注册表键值（Windows 2000/XP/Server 2003）：
键：HKEY_LOCAL_MACHINE/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon
键名：Shell
默认键值：Explorer.EXE

或配置文件system.ini决定（Windows 98/ME）：
[Boot]
Shell=Explorer.EXE

需要注意的是，Windows提供了更换Shell的功能，如果上述的配置点不同，那么Windows会使用其它的Shell，例如把注册表键值更换为cmd.exe，那么启动以后你看到的不是图形化的操作界面而是命令行提示符（很多软件更换Shell就是这样变出来的）。如果上述的配置点出现问题，那么登陆以后你只能看到一个桌面，而桌面上没有任何的图标显示（有部分计算机病毒会这样操作）。

在回顾了Explorer.EXE的功能以后，下面进入正题，说说Explorer.EXE进程杀死的问题。

由于某些特殊原因，我们需要在某些时候杀死Explorer.EXE进程以达到某些效果，但是在使用中发现，很多程序，包括著名的IceSword在杀死Explorer.EXE以后，Explorer.EXE都会被Windows自动唤醒。但是如果使用任务管理器（Taskmgr.EXE）或Process Explorer（http://www.sysinternals.com），则没有这样的现象，为什么呢？

对这2个程序的导入表进行分析和动态跟踪以后，发现这2个程序在结束进程的时候并没有使用 Undocumented API，使用的还是已经公开的API函数TerminateProcess()，这就很奇怪了，为什么我们使用TerminateProcess()去结束Explorer.EXE会出现Explorer.EXE在结束以后被Windows自动唤醒的问题而任务管理器和Process Explorer不会呢？

先研究一下 TerminateProcess() 的调用方式：

1. 以 PROCESS_TERMINATE 方式使用 OpenProcess() API或其他等同方法打开进程句柄
2. 调用 TerminateProcess() API对被打开的句柄执行终止操作
3. 使用 CloseHandel() API关闭句柄。

整个流程非常简单，但是问题到底出在哪里呢？仔细研究所涉及的API的参数，发现在Platform SDK里面并没有对TerminateProcess() API的参数有很相信的解释，特别是第2个参数说的非常模糊。Platform SDK对TerminateProcess() API是这样解释的：

BOOL TerminateProcess(
  HANDLE hProcess,
  UINT uExitCode
);

Parameters
  hProcess 
    [in] Handle to the process to terminate. 
    The handle must have the PROCESS_TERMINATE access right. 
    For more information, see Process Security and Access Rights.

  uExitCode 
    [in] Exit code to be used by the process and threads terminated 
    as a result of this call. Use the GetExitCodeProcess function to 
    retrieve a process's exit value. Use the GetExitCodeThread function 
    to retrieve a thread's exit value. 
    
Return Values
  If the function succeeds, the return value is nonzero.
  If the function fails, the return value is zero. To get extended error 
  information, call GetLastError.

有什么特殊的地方吗？看不出来吧，我也看不出来。但是发现：无论任务管理器还是Process Explorer，在传入第2个参数：uExitCode的时候，传入的值总是1。1有什么特殊的含义吗？我不知道，因为我没法得知Windows是否对1有特殊的处理方式。但是从Platform SDK角度看，没有什么特殊的发现。

于是我试着创建一个了测试工程用于对TerminateProcess() 的参数进行测试，结果令人大吃一惊：如果我把uExitCode的值设置为1，然后去结束Explorer.EXE，会发现Windows并没有自动唤醒Explorer.EXE，但是如果我传入的值是0，则Windows会在Explorer.EXE结束以后自动将Explorer.EXE唤醒。

虽然到目前还是不知道Windows在执行TerminateProcess() 的时候的操作方式（有Windows源代码就可以知道了），但是经过一些尝试，关于TerminateProcess() API的一个隐藏点还是暴露了。

 

上次说到当使用TerminateProcess()函数并将参数uExitCode设置为非1时去结束Explorer.EXE进程，Windows会自动唤醒Explorer.EXE进程。今天将继续讨论这个问题。

上次讨论到系统启动的时候，Explorer.EXE进程是由UserInit.EXE进程启动的，然后UserInit.EXE进程退出（关于这一点可以参考《Windows Internals, 4th》一书关于启动过程上的介绍），但是对于当我们使用TerminateProcess()函数并将参数uExitCode设置为非1时去结束Explorer.EXE进程这种情况，被唤醒的Explorer.EXE进程的父进程并不是UserInit.EXE，跟踪发现这个时候UserInit.EXE进程并没有出现，那么是谁唤醒了Explorer.EXE进程呢？为什么会唤醒这个进程呢？

进一步的探索发现，Windows是否唤醒Explorer.EXE进程需要确定2个条件：
1、 TerminateProcess()函数的uExitCode的值
2、 HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/AutoRestartShell的值
上次说到当uExitCode的值是非1的时候，Windows 将自动重启Explorer.EXE，但是进一步的研究可以得知，如果AutoRestartShell的值是0的话，无论uExitCode的值是多少Windows均不会自动唤醒Explorer.EXE。

关于AutoRestartShell值的介绍，我查阅了一些资料，得到了下面的一些信息：

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/AutoRestartShell
类型：REG_DWORD
默认值：1
值含义：
   1         如果Windows用户界面或他的某个组建以外的终止运行，则用户界面会自动重新启动。
   0         如果Windows用户界面或他的某个组建以外的终止运行，则用户界面不会自动重新启动。
*注1：这里说的Windows用户界面通常指Explorer.EXE
*注2：这个策略适用于Windows 2000/XP/Server 2003

知道了Explorer.EXE自动重启原因以后，就要说说是谁重新启动了Explorer.EXE。

是WinLogon.EXE，Windows登录/注销等一系列操作的关键进程，在侦测到Explorer.EXE停止以后自动重新启动了Explorer.EXE。

整个大致的流程是这样的：

1. 当使用TerminateProcess()函数且uExitCode不为1时去结束Explorer.EXE进程，会有一个消息给SAS（Secure Attention Sequence，关于SAS的解释请看 MSDN Magazine, 2005年5月号，《Customizing GINA, Part 1》），在这个消息处理函数里面会检查uExitCode的值和AutoRestartShell的值，如果发现uExitCode的值是1的话则不进行后面的操作，否则会检查AutoRestartShell的值，如果是1的话会自动重新启动Explorer.EXE。表现为由Winlogon.EXE启动。
2. 如果TerminateProcess()函数的参数uExitCode为1的话，那么Windows会认为这个进程结束是graceful的，则不会检查AutoRestartShell的值。
3. 自动唤醒的时间是2000毫秒。

至此，关于Explorer.EXE自动重启的解释就告一个段落了，在研究过程中得到了众多朋友的帮助，向他们表示由衷的感谢。希望本文能够帮助大家对Windows的一些行为有更多的理解。