X64进程遍历并获取进程主线程

x64下windbg显示的进程结构体

1: kd> dt _SYSTEM_PROCESS_INFORMATION
ole32!_SYSTEM_PROCESS_INFORMATION
   +0x000 NextEntryOffset  : Uint4B
   +0x004 NumberOfThreads  : Uint4B
   +0x008 WorkingSetPrivateSize : _LARGE_INTEGER
   +0x010 HardFaultCount   : Uint4B
   +0x014 NumberOfThreadsHighWatermark : Uint4B
   +0x018 CycleTime        : Uint8B
   +0x020 CreateTime       : _LARGE_INTEGER
   +0x028 UserTime         : _LARGE_INTEGER
   +0x030 KernelTime       : _LARGE_INTEGER
   +0x038 ImageName        : _UNICODE_STRING
   +0x048 BasePriority     : Int4B
   +0x050 UniqueProcessId  : Ptr64 Void
   +0x058 InheritedFromUniqueProcessId : Ptr64 Void
   +0x060 HandleCount      : Uint4B
   +0x064 SessionId        : Uint4B
   +0x068 UniqueProcessKey : Uint8B
   +0x070 PeakVirtualSize  : Uint8B
   +0x078 VirtualSize      : Uint8B
   +0x080 PageFaultCount   : Uint4B
   +0x088 PeakWorkingSetSize : Uint8B
   +0x090 WorkingSetSize   : Uint8B
   +0x098 QuotaPeakPagedPoolUsage : Uint8B
   +0x0a0 QuotaPagedPoolUsage : Uint8B
   +0x0a8 QuotaPeakNonPagedPoolUsage : Uint8B
   +0x0b0 QuotaNonPagedPoolUsage : Uint8B
   +0x0b8 PagefileUsage    : Uint8B
   +0x0c0 PeakPagefileUsage : Uint8B
   +0x0c8 PrivatePageCount : Uint8B
   +0x0d0 ReadOperationCount : _LARGE_INTEGER
   +0x0d8 WriteOperationCount : _LARGE_INTEGER
   +0x0e0 OtherOperationCount : _LARGE_INTEGER
   +0x0e8 ReadTransferCount : _LARGE_INTEGER
   +0x0f0 WriteTransferCount : _LARGE_INTEGER
   +0x0f8 OtherTransferCount : _LARGE_INTEGER

 kd> dt    _IO_COUNTERS
ole32!_IO_COUNTERS
   +0x000 ReadOperationCount : Uint8B
   +0x008 WriteOperationCount : Uint8B
   +0x010 OtherOperationCount : Uint8B
   +0x018 ReadTransferCount : Uint8B
   +0x020 WriteTransferCount : Uint8B
   +0x028 OtherTransferCount : Uint8B

kd> dt _VM_COUNTERS
ole32!_VM_COUNTERS
   +0x000 PeakVirtualSize  : Uint8B
   +0x008 VirtualSize      : Uint8B
   +0x010 PageFaultCount   : Uint4B
   +0x018 PeakWorkingSetSize : Uint8B
   +0x020 WorkingSetSize   : Uint8B
   +0x028 QuotaPeakPagedPoolUsage : Uint8B
   +0x030 QuotaPagedPoolUsage : Uint8B
   +0x038 QuotaPeakNonPagedPoolUsage : Uint8B
   +0x040 QuotaNonPagedPoolUsage : Uint8B
   +0x048 PagefileUsage    : Uint8B
   +0x050 PeakPagefileUsage : Uint8B

 kd> dt _SYSTEM_THREAD_INFORMATION
ole32!_SYSTEM_THREAD_INFORMATION
   +0x000 KernelTime       : _LARGE_INTEGER
   +0x008 UserTime         : _LARGE_INTEGER
   +0x010 CreateTime       : _LARGE_INTEGER
   +0x018 WaitTime         : Uint4B
   +0x020 StartAddress     : Ptr64 Void
   +0x028 ClientId         : _CLIENT_ID
   +0x038 Priority         : Int4B
   +0x03c BasePriority     : Int4B
   +0x040 ContextSwitches  : Uint4B
   +0x044 ThreadState      : Uint4B
   +0x048 WaitReason       : Uint4B

实际测试发现windbg列出的这个进程结构不完整，需要通过一项Reserved14个字节来补齐才行。后面列出我的代码。

#include "stdafx.h"
#include "windows.h"

#pragma pack(8)

#define NT_SUCCESS(Status) ((NTSTATUS)(Status) >= 0)
#define STATUS_SUCCESS         ((NTSTATUS) 0x00000000)
#define SystemProcessesAndThreadsInformation    5 // 功能号
#define NTAPI    __stdcall

// 线程状态的枚举常量
typedef enum _THREAD_STATE
{
    StateInitialized , // 初始化状态
    StateReady , // 准备状态
    StateRunning , // 运行状态
    StateStandby , //
    StateTerminated ,//关闭
    StateWait , // 等待
    StateTransition , // 切换???
    StateUnknown
}THREAD_STATE;

// 线程处于等待的原因的枚举常量
typedef enum _KWAIT_REASON
{
    Executive ,
    FreePage ,
    PageIn ,
    PoolAllocation ,
    DelayExecution ,
    Suspended ,
    UserRequest ,
    WrExecutive ,
    WrFreePage ,
    WrPageIn ,
    WrPoolAllocation ,
    WrDelayExecution ,
    WrSuspended ,
    WrUserRequest ,
    WrEventPair ,
    WrQueue ,
    WrLpcReceive ,
    WrLpcReply ,
    WrVirtualMemory ,
    WrPageOut ,
    WrRendezvous ,
    Spare2 ,
    Spare3 ,
    Spare4 ,
    Spare5 ,
    Spare6 ,
    WrKernel ,
    MaximumWaitReason
}KWAIT_REASON;

typedef LONG   NTSTATUS;
typedef LONG    KPRIORITY;

typedef struct _UNICODE_STRING
{
    USHORT Length;
    USHORT MaximumLength;
    PWSTR  Buffer;

} UNICODE_STRING, *PUNICODE_STRING;

typedef struct _CLIENT_ID_64
{
    ULONG64 UniqueProcess;
    ULONG64 UniqueThread;
}CLIENT_ID_64, *PCLIENT_ID_64;

typedef struct _VM_COUNTERS
{
    ULONG64        PeakVirtualSize;
    ULONG64        VirtualSize;
    ULONG         PageFaultCount;
    ULONG64        PeakWorkingSetSize;
    ULONG64        WorkingSetSize;
    ULONG64        QuotaPeakPagedPoolUsage;
    ULONG64        QuotaPagedPoolUsage;
    ULONG64        QuotaPeakNonPagedPoolUsage;
    ULONG64        QuotaNonPagedPoolUsage;
    ULONG64        PagefileUsage;
    ULONG64        PeakPagefileUsage;
} VM_COUNTERS;

// 线程信息结构体
typedef struct _SYSTEM_THREAD_INFORMATION
{
    LARGE_INTEGER   KernelTime;
    LARGE_INTEGER   UserTime;
    LARGE_INTEGER   CreateTime;
    ULONG64         WaitTime;
    ULONG64         StartAddress;
    CLIENT_ID_64    ClientId;
    KPRIORITY       Priority;
    KPRIORITY       BasePriority;
    ULONG           ContextSwitchCount;
    LONG            State;// 状态,是THREAD_STATE枚举类型中的一个值
    LONG            WaitReason;//等待原因, KWAIT_REASON中的一个值
} SYSTEM_THREAD_INFORMATION , *PSYSTEM_THREAD_INFORMATION;


// 进程信息结构体
typedef struct _SYSTEM_PROCESS_INFORMATION
{
    ULONG            NextEntryDelta; // 指向下一个结构体的指针
    ULONG            ThreadCount; // 本进程的总线程数
    LARGE_INTEGER    WorkingSetPrivateSize;
    ULONG            HardFaultCount;  
    ULONG            NumberOfThreadsHighWatermark;
    LARGE_INTEGER    CycleTime;
    LARGE_INTEGER    CreateTime; // 进程的创建时间
    LARGE_INTEGER    UserTime; // 在用户层的使用时间
    LARGE_INTEGER    KernelTime; // 在内核层的使用时间
    UNICODE_STRING   ProcessName; // 进程名
    KPRIORITY        BasePriority; //
    ULONG64          ProcessId; // 进程ID
    ULONG64          InheritedFromProcessId;
    ULONG            HandleCount; // 进程的句柄总数
    ULONG            SessionId;  
    ULONG64          UniqueProcessKey;

    VM_COUNTERS      VmCounters;
    IO_COUNTERS      IoCounters;
    ULONG            Reserved1;
    SYSTEM_THREAD_INFORMATION Threads[1]; // 子线程信息数组
}SYSTEM_PROCESS_INFORMATION , *PSYSTEM_PROCESS_INFORMATION;

#pragma pack()


// NtQuerySystemInformation 函数的原型
// 由于该没有导出,所以得自己定义函数的原型
typedef DWORD(WINAPI* PQUERYSYSTEM)(UINT , PVOID , DWORD , PDWORD);
DWORD __stdcall GetMainThread(DWORD dwProcessId)
{
    int nRet = 0;
    NTSTATUS Status = 0;
    DWORD dwThreadId = 0;

    PQUERYSYSTEM NtQuerySystemInformation = NULL;
    PSYSTEM_PROCESS_INFORMATION pInfo = { 0 };

    // 获取函数地址
    NtQuerySystemInformation = (PQUERYSYSTEM)GetProcAddress(LoadLibrary(L"ntdll.dll") , "NtQuerySystemInformation");


    DWORD   dwSize = 0;
    // 获取信息所需的缓冲区大小
    Status = NtQuerySystemInformation(SystemProcessesAndThreadsInformation ,//要获取的信息的类型
        NULL , // 用于接收信息的缓冲区
        0 ,  // 缓冲区大小
        &dwSize
        );
    // 申请缓冲区
    char* pBuff = new char[dwSize];
    pInfo = (PSYSTEM_PROCESS_INFORMATION)pBuff ;
    if(pInfo == NULL)
        return -1;
    // 再次调用函数, 获取信息
    Status = NtQuerySystemInformation(SystemProcessesAndThreadsInformation ,//要获取的信息的类型
        pInfo , // 用于接收信息的缓冲区
        dwSize ,  // 缓冲区大小
        &dwSize
        );
    if(!NT_SUCCESS(Status)) {/*如果函数执行失败*/
        printf("失败\n");
        delete[] pInfo;
        return -1;
    }

    // 遍历结构体,找到对应的进程
    while(1)
    {
        // 判断是否还有下一个进程
        if(pInfo->NextEntryDelta == 0)
            break;

        // 判断是否找到了ID
        if(pInfo->ProcessId == dwProcessId)
        {

            //这里罗列出所有的进程中活着的线程。

            for(int i = 0 ; i<pInfo->ThreadCount; i ++)
            {
                dwThreadId = (DWORD)pInfo->Threads[i].ClientId.UniqueThread;

                printf("thread id = %d",dwThreadId);

            }

            dwThreadId = (DWORD)pInfo->Threads[0].ClientId.UniqueThread;   //这个是主线程的ID
        
            break;
        }
        // 迭代到下一个节点
        pInfo = (PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pInfo) + pInfo->NextEntryDelta);
    }

    delete[] pBuff;

    return dwThreadId;
}


int _tmain(int argc, _TCHAR* argv[])
{
    GetMainThread(6592);
}