进程句柄,顾名思义,一个进程所对应的句柄
如何获得一个电脑上所运行的所有进程ID和进程Name?
Demo:
#include <stdio.h>
#include <Windows.h>
#include <winternl.h>
#pragma comment(lib,"ntdll.lib") // Need to link with ntdll.lib import library. You can find the ntdll.lib from the Windows DDK.
typedef struct _SYSTEM_PROCESS_INFO
{
ULONG NextEntryOffset;
ULONG NumberOfThreads;
LARGE_INTEGER Reserved[3];
LARGE_INTEGER CreateTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER KernelTime;
UNICODE_STRING ImageName;
ULONG BasePriority;
HANDLE ProcessId;
HANDLE InheritedFromProcessId;
}SYSTEM_PROCESS_INFO, *PSYSTEM_PROCESS_INFO;
int main()
{
NTSTATUS status;
PVOID buffer;
PSYSTEM_PROCESS_INFO spi;
buffer = VirtualAlloc(NULL, 1024 * 1024, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE); // We need to allocate a large buffer because the process list can be large.
if (!buffer)
{
printf("\nError: Unable to allocate memory for process list (%d)\n", GetLastError());
return -1;
}
printf("\nProcess list allocated at address %#x\n", buffer);
spi = (PSYSTEM_PROCESS_INFO)buffer;
if (!NT_SUCCESS(status = NtQuerySystemInformation(SystemProcessInformation, spi, 1024 * 1024, NULL)))
{
printf("\nError: Unable to query process list (%#x)\n", status);
VirtualFree(buffer, 0, MEM_RELEASE);
return -1;
}
while (spi->NextEntryOffset) // Loop over the list until we reach the last entry.
{
printf("\nProcess name: %ws | Process ID: %d\n", spi->ImageName.Buffer, spi->ProcessId); // Display process information.
spi = (PSYSTEM_PROCESS_INFO)((LPBYTE)spi + spi->NextEntryOffset); // Calculate the address of the next entry.
}
// HANDLE handle_1 = OpenProcess(PROCESS_ALL_ACCESS, TRUE, 14504);
printf("\nPress any key to continue.\n");
getchar();
VirtualFree(buffer, 0, MEM_RELEASE); // Free the allocated buffer.
return 0;
}
上面的代码运行会详细列出对应的process name和process ID
那么有了ProcessID就可以通过OpenProcess函数得到相应的进程句柄了。
好了,最重要的部分来了。
进程所对应的文件句柄是什么?
MSDN上有说明:(机翻)
当一个进程使用createfile函数打开一个文件时,一个文件句柄将与它关联,直到该进程终止或该句柄使用closehandle函数关闭为止。文件句柄用于在许多函数调用中标识文件。
每个文件句柄和文件对象对于打开文件的每个进程通常都是唯一的。唯一的例外是,当一个进程持有的文件句柄重复时,或者当一个子进程继承父进程的文件句柄时。在这些情况下,这些文件句柄是唯一的,但可以看到单个共享文件对象。有关复制由进程持有的文件句柄的详细信息,请参见Duplicatehandle。
请注意,虽然文件句柄通常是进程专用的,但文件句柄指向的文件数据不是。因此,共享同一文件的进程和线程必须同步其访问。对于文件上的大多数操作,进程通过其专用句柄池来标识文件。
那么这说的文件句柄到底是什么样的呢?
请参考:https://jingyan.baidu.com/article/e75aca85797962142edac6c4.html
由上图可以看到,Type为File的是文件类型,后面是Handle Name。
有了handle name就可以通过GetMappedFileNameA获得文件句柄了。
那么如何通过编程来获得进程PID对应的所有的文件句柄呢?
提供一个参考,使用NtQuerySystemInformation函数,第一个参数设为
SystemExtendedHandleInformation.
这个方法在案例很少,我也没用过,如何有人能熟练运用的话,麻烦在评论区给我个DEMO链接,提前感谢!