0. 前言

最近做了一个进程信息相关的项目，整理了一下自己做项目时的笔记，分享给大家

1. 相关概念

1.1 HANDLE

概念

HANDLE（句柄）是Windows操作系统中的一个概念。 在Windows程序中，有各种各样的资源（窗口、图标、光标等），系统在创建这些资源时会为它们分配内存，并返回标示这些资源的标示号，即句柄。 句柄指的是一个核心对象在某一个进程中的唯一索引，而不是指针。

Handle 是代表系统的内核对象，如文件句柄，线程句柄，进程句柄。
系统对内核对象以链表的形式进行管理，载入到内存中的每一个内
核对象都有一个线性地址，同时相对系统来说，在串列中有一个索引位置，这个索引位置就是内核对象的handle。

1.2 DLL和进程的地址空间

一旦系统将一个DLL的文件映像映射到调用进程的地址空间后，进程中的所有线程都可以调用该DLL中的函数了。此时，该DLL中的代码和数据全部存放在进程的地址空间中，且DLL中的函数创建的任何对象都为调用线程或调用进程所拥有-DLL绝对不会拥有任何对象。
举个例子，如果DLL中的一个函数调用了VirtualAlloc，系统就会从调用进程的地址空间中预定地址空间区域（即申请内存）。如果稍后从进程的地址空间中撤销对DLL的映射，那么这块地址区域仍然被保持为预定状态（DLL被从调用进程中取消映射， 并不会主动释放动态分配的内存）。被预定的空间区域的拥有者是进程，只有当线程调用了VirtualFree函数或者当进程终止时，该区域才会被释放。
也就是说，当一个DLL被加载到调用进程的地址空间内，DLL内所有申请的内存空间都是属于调用进程的，静态变量和全局变量都会是一份全新的实例。对于DLL中申请的内存要记得释放掉，并且严格遵循“谁申请谁释放”的原则，尽量不要dll中申请的内存，然后在调用线程中直接通过操作符或者API函数进行删除（当dll和调用进程使用的运行库编译选项不是同时为MD时，会导致程序崩溃）

1.3 DLL

DLL：Dynamic Link Library，即动态链接库，这种库包含了可由多个程序同时使用的代码和数据

DLL最初用于节约应用程序所需要的磁盘和内存空间。早前，在传统的非共享库中，一部分代码简单地附加到调用的程序中。如果两个程序同时调用同一个子程序，就会出现两份那段代码。相反，许多应用共享的代码能够切分到一个DLL中，在硬盘上存为一个文档，在内存中只需使用一个实例

DLL的缺点

设想这样一个场景：程序A会使用1.0版本的动态链接库X，则在程序A安装到系统时，会同时安装该1.0版本的动态链接库X。假设另一个程序B也会使用到动态链接库X，那么程序B直接复制到硬盘中即可正常运行，因为动态链接库已经存在于系统中。然而有一天，另一程序C也要使用动态链接库X，但是由于程序C开发的时间较晚，其需要较新版本—2.0版本的动态链接库X。则在程序C被安装到系统时，2.0版本的动态链接库X 也必须随之安装到系统中，此时系统中1.0版本的动态链接库将被2.0版本所取代（替换）。

情况1：新版本的动态链接库不兼容旧版本。如，A何B需要X所提供的功能，在升级到2.0后，新版本的X竟然把此功能取消了（很难想象吧，呵呵但有时候就是如此….）。则此时虽然C能正常运行，但A和B均无法工作了。

情况2：新版本的动态链接库兼容旧版本，但是存在一个bug。

1.4 Windows下堆结构

Windows下的堆主要有两种，进程的默认堆和自己创建的私有堆。在程序启动时，系统在刚刚创建的进程虚拟地址空间中创建一个进程的默认堆，而且程序也可以通过 HeapCreate 函数来调用 ntdll 中的RtlCreateHeap 来创建自己的私有堆，所以一个进程中可以存在多个堆。

虽说这两种堆名称不同，但是其本质是相同的，区别的只是返回的句柄不同，私有堆虽然名字是私有，但并不是只能在创建它的线程中使用，如果得到它的句柄，在其他线程中也可使用。

2. Windows API函数

CreateToolhelp32Snapshot

CreateToolhelp32Snapshot可以通过获取进程信息为指定的进程、进程使用的堆[HEAP]、模块[MODULE]、线程建立一个快照。说到底，可以获取系统中正在运行的进程信息，线程信息，等。

HANDLE WINAPI CreateToolhelp32Snapshot(
  _In_ DWORD dwFlags,       //用来指定“快照”中需要返回的对象，可以是TH32CS_SNAPPROCESS等
  _In_ DWORD th32ProcessID  //一个进程ID号，用来指定要获取哪一个进程的快照，当获取系统进程列表或获取 当前进程快照时可以设为0
);

进程快照

快照就是snapshot, 类似于screen-shot(屏幕快照,当你按prtscr键时抓的当前windows全屏)进程快照就是当前系统中正在运行的所有进程列表,一般用CreateToolhelp32Snapshot得到.

Windows是多线程的.所以有以下3点注意事项导致需要使用”快照”这个概念.
1 当你第一次调用某个函数枚举进程的时候,你得到了当前系统进程信息,而你第二次试图得到这个信息的时候,这个信息可能已经发生了变化.所以这个信息是一个”照片”,是过去某个时刻的情况.
2 进程的创建是一个”漫长”的过程,在枚举进程函数被调用过程中,进程可能发生了变化,所以得到的仍然是某个时刻的”照片

Module32First function (tlhelp32.h)

检索与进程关联的第一个模块的信息。

BOOL Module32First(
  HANDLE          hSnapshot,//从先前调用CreateToolhelp32Snapshot函数返回的快照句柄。
  LPMODULEENTRY32 lpme //一个指向MODULEENTRY32结构的指针
);

MODULEENTRY32结构体

描述属于指定进程的模块列表中的条目 module 模块 entry入口

typedef struct tagMODULEENTRY32 {
  DWORD   dwSize;// 结构体大小
  DWORD   th32ModuleID;// 该成员不再使用，并且始终设置为1
  DWORD   th32ProcessID; // 要检查其模块的进程的标识符
  DWORD   GlblcntUsage;
  DWORD   ProccntUsage;
  BYTE    *modBaseAddr; // 模块在所属进程上下文中的基地址
  DWORD   modBaseSize; // 模块的大小，以字节为单位
  HMODULE hModule;
  char    szModule[MAX_MODULE_NAME32 + 1]; // 模块名
  char    szExePath[MAX_PATH];// 模块路径
} MODULEENTRY32;

PROCESSENTRY32 structure (tlhelp32.h)

typedef struct tagPROCESSENTRY32 {
  DWORD     dwSize;//将该成员设置为sizeof(PROCESSENTRY32)。如果不初始化dwSize, Process32First会失败
  DWORD     cntUsage;
  DWORD     th32ProcessID; // 进程ID
  ULONG_PTR th32DefaultHeapID;
  DWORD     th32ModuleID;
  DWORD     cntThreads; // 进程启动的执行线程数
  DWORD     th32ParentProcessID; // 创建该进程的进程的标识符(它的父进程)
  LONG      pcPriClassBase; // 由该进程创建的任何线程的基本优先级
  DWORD     dwFlags;
  CHAR      szExeFile[MAX_PATH];// 进程的可执行文件的名称。要检索可执行文件的完整路径，调用Module32First函数并检查返回的MODULEENTRY32结构的szExePath成员。但是，如果调用进程是32位进程，则必须调用QueryFullProcessImageName函数来检索64位进程的可执行文件的完整路径。
} PROCESSENTRY32;

描述快照时驻留在系统地址空间中的进程列表中的一个条目。

NtQueryInformationProcess function (winternl.h)

__kernel_entry NTSTATUS NtQueryInformationProcess(
  HANDLE           ProcessHandle,//要检索其信息的进程的句柄
  PROCESSINFOCLASS ProcessInformationClass,
  PVOID            ProcessInformation,//一个指向由调用应用程序提供的缓冲区的指针，函数将请求的信息写入其中。所写信息的大小取决于ProcessInformationClass参数的数据类型
  ULONG            ProcessInformationLength,//ProcessInformation参数所指向的缓冲区大小，以字节为单位。
  PULONG           ReturnLength// 指向变量的指针，函数在该变量中返回所请求信息的大小。如果函数成功，这是ProcessInformation参数所指向的写入缓冲区的信息的大小，但如果缓冲区太小，这是成功接收信息所需的缓冲区的最小大小。
);

ProcessInformationClass 参数

ProcessInformationClass

要检索的流程信息的类型。该参数可以是PROCESSINFOCLASS枚举中的下列值之一。

OpenProcess function (processthreadsapi.h)

HANDLE OpenProcess(
  DWORD dwDesiredAccess,//对进程对象的访问。此访问权限将根据进程的安全描述符进行检查。该参数可以是进程访问权限的一个或多个。如果调用者已经启用了SeDebugPrivilege特权，则不管安全描述符的内容如何，请求的访问都会被授予。
  BOOL  bInheritHandle,//如果该值为TRUE，则该进程创建的进程将继承该句柄。否则，进程不会继承此句柄。
  DWORD dwProcessId//要打开的本地进程的标识符。
);

第一个参数具体有哪些可以参考

https://docs.microsoft.com/en-us/windows/win32/procthread/process-security-and-access-rights

我用到的

GetProcessHeap function (heapapi.h)

HANDLE GetProcessHeap();

如果函数成功，返回值是调用进程堆的句柄。

如果函数失败，返回值为NULL。

PROCESS_INFORMATION structure (processthreadsapi.h)

包含关于新创建的进程及其主线程的信息。它与CreateProcess、CreateProcessAsUser、CreateProcessWithLogonW或CreateProcessWithTokenW函数一起使用。

typedef struct _PROCESS_INFORMATION {
  HANDLE hProcess;//新创建的进程的句柄。句柄用于指定在进程对象上执行操作的所有函数中的进程。
  HANDLE hThread;//新创建的进程的主线程的句柄。句柄用于指定在线程对象上执行操作的所有函数中的线程。
  DWORD  dwProcessId;//可用于标识进程的值。该值从创建进程开始有效，直到进程的所有句柄被关闭并释放进程对象为止;此时，标识符可能被重用。
  DWORD  dwThreadId;//一个可用于标识线程的值。该值从线程创建时开始有效，直到线程的所有句柄被关闭和线程对象被释放;此时，标识符可能被重用。
} PROCESS_INFORMATION, *PPROCESS_INFORMATION, *LPPROCESS_INFORMATION;

PROCESS_BASIC_INFORMATION

typedef struct _PROCESS_BASIC_INFORMATION {
    PVOID Reserved1;
    PPEB PebBaseAddress;
    PVOID Reserved2[2];
    ULONG_PTR UniqueProcessId;
    PVOID Reserved3;
} PROCESS_BASIC_INFORMATION;

ReadProcessMemory function (memoryapi.h)

读取进程内存地址的信息

BOOL ReadProcessMemory(
  HANDLE  hProcess,// 被读取内存的进程的句柄。句柄必须具有对进程的PROCESS_VM_READ访问权限。
  LPCVOID lpBaseAddress,// 指向要从其中读取的指定进程的基址的指针。在任何数据传输发生之前，系统验证所有的数据在基地址和内存中指定的大小是可读访问，如果它不能访问，功能失败。
  LPVOID  lpBuffer,
  SIZE_T  nSize,
  SIZE_T  *lpNumberOfBytesRead
);

3. Bug

每当我尝试从调试器中调用debuggee上的CreateToolhelpSnapshot时，我得到一个299错误。MSDN表示，只有从32位查询64位进程时才会发生这种情况，反之亦然。