2. 程式人生 > >windows遍歷程序與殺死程序

windows遍歷程序與殺死程序

阿新 • • 發佈：2019-01-03

windows下遍歷程序有多種方式：

程序快照：CreateToolhelp32Snapshot；

程序狀態API：PSAPI；

在psapi中主要使用到的方法有：

EnumProcesses——列舉程序；

EnumProcessModules——列舉程序內模組；

GetModuleFileNameEx——獲取模組名；

通過這3個方法就可以遍歷程序以及程序內各個模組；

其中基本資料結構QString、QList是基於Qt的，如果用的不是Qt庫，換成C++對應STL標準庫List、String的即可；

    //Win32Api:
    void AdjustPrivilege()
    {
        HANDLE hToken;
        if (OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken))
        {
            TOKEN_PRIVILEGES tp;
            tp.PrivilegeCount = 1;
            tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
            if (LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &tp.Privileges[0].Luid))
            {
                AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(tp), NULL, NULL);
            }
            CloseHandle(hToken);
        }
    }
	
    //根據程序所在的路徑查詢程序，並返回程序的ID列表
    QList<DWORD> CheckProcess(const QString &processPath)
    {
        AdjustPrivilege();
        QList<DWORD> pIDList;
        DWORD dwProcessId[1024];
        DWORD bytesRet;
        if (EnumProcesses(dwProcessId, sizeof(dwProcessId), &bytesRet))
        {
            HANDLE hProcess = NULL;
            HMODULE hModus[1024];
            DWORD bytesModuRet;
            TCHAR szModuleName[MAX_PATH];
            QStringList tempPathList = processPath.toLower()
                    .split(QRegExp("[/\\\\]"), QString::SkipEmptyParts);
            QString processPathWinStd;//轉成windows標準的路徑
            int listLength = tempPathList.length();
            for (int idx = 0; idx < listLength; ++idx)
            {
                if (idx != 0)
                    processPathWinStd.push_back("\\");
                processPathWinStd.push_back(tempPathList[idx]);
            }
            int ProcessNum = (bytesRet/sizeof(DWORD));
            for (int i = 0, j = 0; i < ProcessNum; ++i)
            {
                hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, dwProcessId[i]);
                if (hProcess)
                {
                    //Do not call CloseHandle on any of the handles returned by this function.
                    //The information comes from a snapshot, so there are no resources to be freed.
                    if (EnumProcessModules(hProcess, hModus, sizeof(hModus), &bytesModuRet))
                    {
                        int ModuleNum = (bytesRet/sizeof(DWORD));
                        for (j = 0; j < ModuleNum; ++j)
                        {
                            if (GetModuleFileNameEx(hProcess, hModus[j], szModuleName, sizeof(szModuleName))
                             && processPathWinStd == QString::fromWCharArray(szModuleName, _tcslen(szModuleName)).toLower())
                            {
                                pIDList.push_back(dwProcessId[i]);
                            }
                        }
                    }
                    CloseHandle(hProcess);
                }
            }
        }
        return pIDList;
    }
注意其中的EnumProcessModules中的hModus控制代碼不能使用CloseHandle（因為這些控制代碼來自一個快照snapshot，不是實際的資源）：

Do not call CloseHandle on any of the handles returned by this function.
The information comes from a snapshot, so there are no resources to be freed.

windows下殺死程序也有兩種方式：

TerminateProcess——系統API；

NtTerminateProcess——ntdll.dll中未公開匯出方法；

TerminateProcess實際上也是呼叫NtTerminateProcess實現具體功能的；

正常情況下，呼叫這兩個任何一個都可以終結或者殺死一個程序（誇使用者殺程序需要先提權，提權見“windows提權方法”），但是在有些情況下有些應用程式為了防止自己被殺，會hook系統的TerminateProcess方法，導致TerminateProcess失效；所以用NtTerminateProcess可以使殺死程序的成功率更高一些；

    void Terminate(const QString &processPath)
    {
        AdjustPrivilege();
        //================TerminateProcess================//遍歷程序列表與程序模組，匹配路徑後強殺
        DWORD dwProcessId[1024];
        DWORD bytesRet;
        if (EnumProcesses(dwProcessId, sizeof(dwProcessId), &bytesRet))
        {
            HANDLE hProcess = NULL;
            HMODULE hModus[1024];
            DWORD bytesModuRet;
            TCHAR szModuleName[MAX_PATH];
            QStringList tempPathList = processPath.toLower()
                    .split(QRegExp("[/\\\\]"), QString::SkipEmptyParts);
            QString processPathWinStd;//轉成windows標準的路徑
            int listLength = tempPathList.length();
            for (int idx = 0; idx < listLength; ++idx)
            {
                if (idx != 0)
                    processPathWinStd.push_back("\\");
                processPathWinStd.push_back(tempPathList[idx]);
            }
            int ProcessNum = (bytesRet/sizeof(DWORD));
            for (int i = 0, j = 0; i < ProcessNum; ++i)
            {
                hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, dwProcessId[i]);
                if (hProcess)
                {
                    //Do not call CloseHandle on any of the handles returned by this function.
                    //The information comes from a snapshot, so there are no resources to be freed.
                    if (EnumProcessModules(hProcess, hModus, sizeof(hModus), &bytesModuRet))
                    {
                        int ModuleNum = (bytesRet/sizeof(DWORD));
                        for (j = 0; j < ModuleNum; ++j)
                        {
                            if (GetModuleFileNameEx(hProcess, hModus[j], szModuleName, sizeof(szModuleName))
                             && processPathWinStd == QString::fromWCharArray(szModuleName, _tcslen(szModuleName)).toLower())
                            {
                                TerminateProcess(hProcess, 4);
                            }
                        }
                    }
                    CloseHandle(hProcess);
                }
            }
        }
    }

    void Terminate(const DWORD &pID)
    {
        AdjustPrivilege();
        //================TerminateProcess================//根據程序ID強殺
        HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, pID);
        if (hProcess)
        {
            TerminateProcess(hProcess, 4);
            CloseHandle(hProcess);
        }
    }

ntdll.dll匯出方式： 
    const unsigned long SE_DEBUG_PRIVILEGE = 0x14;
    typedef int (__stdcall *fRtlAdjustPrivilege)(ULONG, BOOLEAN, BOOLEAN, PBOOLEAN);
    typedef DWORD (__stdcall *fNtTerminateProcess)(HANDLE, UINT);
    HMODULE hNtDll = NULL;
    fRtlAdjustPrivilege funcAdjustPrivilege = NULL;
    fNtTerminateProcess funcTerminateProcess = NULL;

    //================
    //NtDll方式:
    //================
    bool NtInit()
    {
        hNtDll = LoadLibrary(_T("ntdll.dll"));
        if (!hNtDll)
            return false;
        funcAdjustPrivilege =
                (fRtlAdjustPrivilege)GetProcAddress(hNtDll, "RtlAdjustPrivilege");
        funcTerminateProcess =
                (fNtTerminateProcess)GetProcAddress(hNtDll, "NtTerminateProcess");
        return true;
    }

    void NtFree()
    {
        if (hNtDll)
            FreeLibrary(hNtDll);
    }

    void NtAdjustPrivilege()
    {
        if (funcAdjustPrivilege)
        {
            BOOLEAN oldStatus;
            funcAdjustPrivilege(SE_DEBUG_PRIVILEGE, true, false, &oldStatus);
        }
    }

    void NtTerminate(const QString &processPath)
    {
        NtAdjustPrivilege();
        //================TerminateProcess================//遍歷程序列表與程序模組，匹配路徑後強殺
        if (funcTerminateProcess)
        {
            DWORD dwProcessId[1024];
            DWORD bytesRet;
            if (EnumProcesses(dwProcessId, sizeof(dwProcessId), &bytesRet))
            {
                HANDLE hProcess = NULL;
                HMODULE hModus[1024];
                DWORD bytesModuRet;
                TCHAR szModuleName[MAX_PATH];
                QStringList tempPathList = processPath.toLower()
                        .split(QRegExp("[/\\\\]"), QString::SkipEmptyParts);
                QString processPathWinStd;//轉成windows標準的路徑
                int listLength = tempPathList.length();
                for (int idx = 0; idx < listLength; ++idx)
                {
                    if (idx != 0)
                        processPathWinStd.push_back("\\");
                    processPathWinStd.push_back(tempPathList[idx]);
                }
                int ProcessNum = (bytesRet/sizeof(DWORD));
                for (int i = 0, j = 0; i < ProcessNum; ++i)
                {
                    hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, dwProcessId[i]);
                    if (hProcess)
                    {
                        //Do not call CloseHandle on any of the handles returned by this function.
                        //The information comes from a snapshot, so there are no resources to be freed.
                        if (EnumProcessModules(hProcess, hModus, sizeof(hModus), &bytesModuRet))
                        {
                            int ModuleNum = (bytesRet/sizeof(DWORD));
                            for (j = 0; j < ModuleNum; ++j)
                            {
                                if (GetModuleFileNameEx(hProcess, hModus[j], szModuleName, sizeof(szModuleName))
                                 && processPathWinStd == QString::fromWCharArray(szModuleName, _tcslen(szModuleName)).toLower())
                                {
                                    funcTerminateProcess(hProcess, 4);
                                }
                            }
                        }
                        CloseHandle(hProcess);
                    }
                }
            }
        }
    }

    void NtTerminate(const DWORD &pID)
    {
        NtAdjustPrivilege();
        //================TerminateProcess================//根據程序ID強殺
        if (funcTerminateProcess)
        {
            HANDLE hProcess = NULL;
            hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, pID);
            if (hProcess)
            {
                funcTerminateProcess(hProcess, 4);
                CloseHandle(hProcess);
            }
        }
    }


相關推薦

windows遍歷程序與殺死程序

windows下遍歷程序有多種方式： 程序快照：CreateToolhelp32Snapshot； 程序狀態API：PSAPI； 在psapi中主要使用到的方法有： EnumProcesses——列舉程序； EnumProcessModules——列舉程序內模組； Get

windows下通過程序名稱查詢程序並殺死程序

查詢並殺死程序 tasklist介紹 taskkill介紹 查詢並殺死程序實現 在windows系統環境下 ，通過程序名稱檢視該程序是否存在，存在的話 taskkill結束程序。 public class ProcessUtil { private stati

PTA L2-004 這是二叉搜索樹嗎？-判斷是否是對一棵二叉搜索樹或其鏡像進行前序遍歷的結果 團體程序設計天梯賽-練習集

text oid bar main 遍歷 html flex 輸出 感覺 L2-004 這是二叉搜索樹嗎？ （25 分) 一棵二叉搜索樹可被遞歸地定義為具有下列性質的二叉樹：對於任一結點， 其左子樹中所有結點的鍵值小於該結點的鍵值；

JavaScript中的數組遍歷forEach()與map()方法以及兼容寫法

修改 console ron fine 默認 for typeof object 方法 原文鏈接：https://www.cnblogs.com/jocyci/p/5508279.html 原理： 高級瀏覽器支持forEach方法語法：forEach和map都支持2個

源程序與目標程序

程序 com www 集合 amp follow 文本 clas bsp 源程序也叫源碼，就是最開始編寫的程序，計算機並不能識別，需要經過編譯生成目標程序 目標程序是能夠被計算機識別執行的，比如我們在網上下載的軟件，例如QQ,迅雷，這一類 軟件都是目標程序，

應用程序與驅動程序客服端方式交互

dex etime link next self 時間 ise elf defaults 實現方式是：3 環通過IOServiceOpen打開連接驅動0 環在 start 中設置一個與之交互的Client（方式有設置鍵值對或 new一個Client）3 環：// User

python 多程序與子程序

多程序： 1.os.fork() 2.from multiprocessing import Process 3.form multiprocessing import Pool 子程序： subprocess 很多時候，子程序並不是自身，而是一個外部程序。我們建立了子程序後，還需要控制

主程序與子程序的執行順序

from multiprocessing import Process import time def task(name): print("%s start" % name) time.sleep(3) print("%s stop" % name) if __name_

Windows遍歷全盤所搜檔案，並通過多執行緒顯示搜尋進度（C++/C）

程式設計軟體，系統 軟體：VS2017 工程屬性：MFC對話方塊（其他工程屬性稍作修改也適用） 系統：windows10家庭版 主要思想 1、利用CFileFind實現查詢檔案 2、利用遞迴實現全盤搜尋 3、多執行緒實現父對話方塊搜尋檔案時，子對話方塊顯示搜尋進度 軟體執行效

Python 中子程序與父程序

from multiprocessing import Process import time 複製程式碼 從程式中啟動程序的兩種方式： def task(i): print('%s start!'% i) time.sleep(2) print('%s stop!' % i) 複

electron 內主程序與渲染程序，webview之間的通訊

　　　這裡先插個題外話，什麼是程序，為什麼要分主程序子程序？首先程序是資源分配的單位，是執行的程式，一個程序自然只能代表一個程式，多道程式自然而然就產生了多程序的概念。程序中通過CreateProcess（）函式去建立一個子程序，子程序在全部處理過程中只對父程序地址空間中的相關資料進行訪問，從而可以保護父程序

JavaScript - 遍歷物件與陣列（for-in迴圈）

for-in迴圈： for (佔位符 in 物件 ) { 物件 [ 佔位符 ] }  //執行中，佔位符會被物件屬性或陣列元素代替，資料傳輸必須作用 [ ]，不要用 . 操作符 1.建立物件，遍歷物件      

Linux 殭屍程序與孤兒程序

殭屍程序 產生原因 子程序先於父程序退出，他要保留退出原因在pcb中，因此退出後不會自動釋放所有資源，子程序退出後作業系統會通知父程序，子程序退出了，去獲取一下原因，然後完全釋放子程序資源，假如父程序不管子程序的退出狀態，那麼這個子程序將進入僵死狀態，成為殭屍程序 程式碼實現殭屍程序 //該程式

Linux檢視程序，殺死程序命令

1.查詢程序 ps a 顯示現行終端機下的所有程式，包括其他使用者的程式。 ps -A 顯示所有程式。 ps c 列出程式時，顯示每個程式真正的指令名稱，而不包含路徑，引數或常駐服務的標示。 ps -e 此引數的效果和指定"A"引數相同。 ps e 列出程式時，顯示每個程式所使用的環境變

根據程序名稱殺死程序

ps -ef | grep keyword | grep -v grep | awk '{print $2}' | xargs kill -9 逐個分析:   1, ps -ef | grep keyword: 查出程序名含有 keyword 的所有程序; 2,

程式設計基礎76 已知前序，後序和層序遍歷序列與中序遍歷序列組合得到樹的方法

#include<cstdio> #include<queue> using namespace std; const int max_n = 50; int N = 0; int level[max_n]; int in[max_n]; int post[max_n]; b

二叉樹遍歷演算法與重構（2）

上一篇（https://blog.csdn.net/To_be_to_thought/article/details/84668630）介紹了二叉樹的性質和常用的相關的遞迴、非遞迴演算法，這一篇想接著寫從二叉樹的遍歷結果重構一棵樹，主要是重構的過程思路。 1.中序遍歷和先根遍歷結果重構二叉樹演算

Window下doc命令檢視端口占用、相應程序、殺死程序

開始--執行--cmd 進入命令提示符 輸入netstat -ano 即可看到所有連線的PID 之後在工作管理員中找到這個PID所對應的程式如果工作管理員中沒有PID這一項,可以在工作管理員中選"檢視"-"選擇列" 經常，我們在開發web應用的

孤兒程序與殭屍程序

1、前言 　　之前在看《unix環境高階程式設計》第八章程序時候，提到孤兒程序和殭屍程序，一直對這兩個概念比較模糊。今天被人問到什麼是孤兒程序和殭屍程序，會帶來什麼問題，怎麼解決，我只停留在概念上面，沒有深入，倍感慚愧。晚上回來google了一下，再次參考APUE，認真

單鏈表的建立、遍歷、與增刪改查

前言：我先這篇文章的目的是為了分享自己所學的東西。 連結串列是一種很常見的資料結構，但是因為與指標的結合，使得它變得讓人頭疼，初學者往往會被其搞得暈頭轉向，好了廢話不多說下面開始。 1、建立連結串列 首先是建立連結串列，這個大家應該都會 2、初始化連結串列 n