python获取父进程名称_C++获取父进程PID和父进程名

每个进程在内核中都有一个EPROCESS结构体的指针，此EPROCESS中记录着此进程的父进程ID，但当其父进程生命周期结束时，此进程的EPROCESS并不会更新其父进程ID。

当我们通过PROCESS_BASIC_INFORMATION获取到一个进程P1的父进程的ID时，获取到的其实是P1被创建时创建者进程P1CREATER的id，此时，进程P1CREATER可能已经退出了，而且很有可能此id已被其他进程P2复用了，如果我们在自己的的逻辑层认为此id所对应的进程P2就是我们要找的进程P1的父进程，是不对的，因为进程P1的父进程应该是是进程P1CREATER。

我们需要做的是进一步获取此id此刻所对应进程P2的创建时间和进程P1的创建时间，如果进程P2的创建时间比进程P1的创建时间晚，此id是一个被复用的id，它所对应的进程P2并不是进程P1的父进程，相反，如果进程P2的创建时间比进程P1的创建时间早，则此id所对应的进程P2就是创建进程P1的进程，也就是进程P1的父进程。

在windows的ntdll里面有个没文档化的函数NtQueryInformationProcess，可以获取进程的信息，其中就包括了进程的父进程PID

typedef struct tagPROCESS_BASIC_INFORMATION

{

DWORD ExitStatus;

DWORD PebBaseAddress;

DWORD AffinityMask;

DWORD BasePriority;

ULONG UniqueProcessId;

ULONG InheritedFromUniqueProcessId;

}PROCESS_BASIC_INFORMATION;

typedef enum enumSYSTEM_INFORMATION_CLASS

{

SystemBasicInformation,

SystemProcessorInformation,

SystemPerformanceInformation,

SystemTimeOfDayInformation,

}SYSTEM_INFORMATION_CLASS;

typedef LONG(WINAPI *PNTQUERYINFORMATIONPROCESS)(HANDLE, UINT, PVOID, ULONG, PULONG);

PNTQUERYINFORMATIONPROCESS NtQueryInformationProcess = NULL;

int GetParentProcessID()

{

LONG status;

DWORD dwParentPID = 0;

HANDLE hProcess;

PROCESS_BASIC_INFORMATION pbi;

hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, GetCurrentProcessId());

if (!hProcess)

return -1;

NtQueryInformationProcess = (PNTQUERYINFORMATIONPROCESS)GetProcAddress(GetModuleHandle(L"ntdll"), "NtQueryInformationProcess");

if (NtQueryInformationProcess == NULL)

{

return -1;

}

status = NtQueryInformationProcess(hProcess, SystemBasicInformation, (PVOID)&pbi, sizeof(PROCESS_BASIC_INFORMATION), NULL);

if (!status)

dwParentPID = pbi.InheritedFromUniqueProcessId;

CloseHandle(hProcess);

return dwParentPID;

}

在得到父进程的PID以后 要获取父进程名就很简单了

HANDLE h_Process = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, dwPid);

if (!h_Process)

{

return FALSE;

}

TCHAR path[MAX_PATH] = {0};

GetModuleFileNameEx(h_Process, NULL, path, MAX_PATH + 1);

打赏作者

微信、支付宝扫一扫，鼓励一下作者吧～