微软开放的win32 api 接口没有提供挂起进程和恢复进程的接口,本来第一个想到的解决方式是遍历进程下的全部线程,然后挂起。但是线程是否挂起,什么时机挂起最终是由windows的线程调度器决定的,这样手动去处理,可能会出现无法预料的问题,为保稳妥需要另寻他法。
其实windows应用层部分的最底层并非api接口层,win32 api 是调用可执行体层(非内核层)实现功能的,其模块名为Ntdll,该模块提供了应用层调用内核模块的功能,实现了安全的从ring3到ring0的的过程。选一个版本的WDK(微软官网可以自由获取)安装,可以找到相关的函数定义,我们用NtSuspendProcess和NtResumeProcess两个函数。现在我们有了模块名和函数名,通过win32 api 获取模块中函数的地址即可调用。
第一步,定义函数指针类型typedef LONG(NTAPI *NTProcessCtrl)(HANDLE hProcess)(因为要调用的两个函数声明相同,所有使用一个类型即可);
第二步,通过GetProcAddress和GetModuleHandle两个函数获取地址,例:(NTProcessCtrl)GetProcAddress(GetModuleHandle(TEXT("ntdll")), "NtSuspendProcess");
第三步,没有第三步,获取到函数指针后调用即可。
备注:ntdll 函数是非公开的,所以可能会发生变化,需要注意。