windows进程管理软件（设计基于windows进程管理的安全防范软件）

本文目录

• 设计基于windows进程管理的安全防范软件
• svchost.exe进程是干什么的

设计基于windows进程管理的安全防范软件

VC++中进程与多进程管理的方法

来源:Internet
进程
进程是当前操作系统下一个被加载到内存的、正在运行的应用程序的实例。每一个进程都是由内核对象和地址空间所组成的，内核对象可以让系统在其内存放有关进程的统计信息并使系统能够以此来管理进程，而地址空间则包括了所有程序模块的代码和数据以及线程堆栈、堆分配空间等动态分配的空间。进程仅仅是一个存在，是不能独自完成任何操作的，必须拥有至少一个在其环境下运行的线程，并由其负责执行在进程地址空间内的代码。在进程启动的同时即同时启动了一个线程，该线程被称作主线程或是执行线程，由此线程可以继续创建子线程。如果主线程退出，那么进程也就没有存在的可能了，系统将自动撤消该进程并完成对其地址空间的释放。
加载到进程地址空间的每一个可执行文件或动态链接库文件的映象都会被分配一个与之相关联的全局唯一的实例句柄（Hinstance）。该实例句柄实际是一个记录有进程加载位置的基本内存地址。进程的实例句柄在程序入口函数WinMain（）中通过第一个参数HINSTANCE hinstExe传递，其实际值即为进程所使用的基本地址空间的地址。对于VC++链接程序所链接产生的程序，其默认的基本地址空间地址为0x00400000，如没有必要一般不要修改该值。在程序中，可以通过GetModuleHandle（）函数得到指定模块所使用的基本地址空间。
子进程的创建
进程的创建通过CreateProcess（）函数来实现，CreateProcess（）通过创建一个新的进程及在其地址空间内运行的主线程来启动并运行一个新的程序。具体的，在执行CreateProcess（）函数时，首先由操作系统负责创建一个进程内核对象，初始化计数为1，并立即为新进程创建一块虚拟地址空间。随后将可执行文件或其他任何必要的动态链接库文件的代码和数据装载到该地址空间中。在创建主线程时，也是首先由系统负责创建一个线程内核对象，并初始化为1。最后启动主线程并执行进程的入口函数WinMain（），完成对进程和执行线程的创建。
CreateProcess（）函数的原型声明如下：
BOOL CreateProcess(
LPCTSTR lpApplicationName, // 可执行模块名
LPTSTR lpCommandLine, // 命令行字符串
LPSECURITY_ATTRIBUTES lpProcessAttributes, // 进程的安全属性
LPSECURITY_ATTRIBUTES lpThreadAttributes, // 线程的安全属性
BOOL bInheritHandles, // 句柄继承标志
DWORD dwCreationFlags, // 创建标志
LPVOID lpEnvironment, // 指向新的环境块的指针
LPCTSTR lpCurrentDirectory, // 指向当前目录名的指针
LPSTARTUPINFO lpStartupInfo, // 指向启动信息结构的指针
LPPROCESS_INFORMATION lpProcessInformation // 指向进程信息结构的指针
);
在程序设计时，某一个具体的功能模块可以通过函数或是线程等不同的形式来实现。对于同一进程而言，这些函数、线程都是存在于同一个地址空间下的，而且在执行时，大多只对与其相关的一些数据进行处理。如果算法存在某种错误，将有可能破坏与其同处一个地址空间的其他一些重要内容，这将造成比较严重的后果。为保护地址空间中的内容可以考虑将那些需要对地址空间中的数据进行访问的操作部分放到另外一个进程的地址空间中运行，并且只允许其访问原进程地址空间中的相关数据。具体的，可在进程中通过CreateProcess（）函数去创建一个子进程，子进程在全部处理过程中只对父进程地址空间中的相关数据进行访问，从而可以保护父进程地址空间中与当前子进程执行任务无关的全部数据。对于这种情况，子进程所体现出来的作用同函数和线程比较相似，可以看成是父进程在运行期间的一个过程。为此，需要由父进程来掌握子进程的启动、执行和退出。下面这段代码即展示了此过程：
// 临时变量
CString sCommandLine;
char cWindowsDirectory;
char cCommandLine;
DWORD dwExitCode;
PROCESS_INFORMATION pi;
STARTUPINFO si = {sizeof(si)};
// 得到Windows目录
GetWindowsDirectory(cWindowsDirectory, MAX_PATH);
// 启动"记事本"程序的命令行
sCommandLine = CString(cWindowsDirectory) + "\\NotePad.exe";
::strcpy(cCommandLine, sCommandLine);
// 启动"记事本"作为子进程
BOOL ret = CreateProcess(NULL, cCommandLine, NULL, NULL, FALSE, 0, NULL, NULL, &si, π);
if (ret) {
// 关闭子进程的主线程句柄
CloseHandle(pi.hThread);
// 等待子进程的退出
WaitForSingleObject(pi.hProcess, INFINITE);
// 获取子进程的退出码
GetExitCodeProcess(pi.hProcess, &dwExitCode);
// 关闭子进程句柄
CloseHandle(pi.hProcess);
}
此段代码首先通过CreateProcess（）创建Windows自带的“记事本”程序为子进程，子进程启动后父进程通过WaitForSingleObject（）函数等待其执行的结束，在子进程没有退出前父进程是一直处于阻塞状态的，这里子进程的作用同单线程中的函数类似。一旦子进程退出，WaitForSingleObject（）函数所等待的pi.hProcess对象将得到通知，父进程将得以继续，如有必要可以通过GetExitCodeProcess（）来获取子进程的退出代码。
相比而言，更多的情况是父进程在启动完子进程后就再不与其进行任何数据交换和通讯，由其创建的子进程的执行成功与否均与父进程无关。许多大型软件在设计时也多采用了这类思想，将某些功能完全通过独立的应用程序来完成，当需要执行某操作时只要通过主程序启动相应的子进程即可，具体的处理工作均由子进程去完成。这类子进程的创建过程更为简单，例如对于上面那段代码只需去除对子进程句柄pi.hProcess的等待即可：
BOOL ret = CreateProcess(NULL, cCommandLine, NULL, NULL, FALSE, 0, NULL, NULL, &si, π);
if (ret) {
// 关闭子进程的主线程句柄
CloseHandle(pi.hThread);
// 关闭子进程句柄
CloseHandle(pi.hProcess);
}
可以通过dwCreationFlags参数在创建进程时设置子进程的优先级。前面的示例代码在创建子进程时使用的均是默认的优先级，如果要将优先级设置为高，可以修改如下：
BOOL ret = CreateProcess(NULL, cCommandLine, NULL, NULL, FALSE, HIGH_PRIORITY_CLASS, NULL, NULL, &si, π);
如果在进程创建时没有特别设置优先级，可以通过SetPriorityClass（）函数来动态设定，该函数需要待操作进程的句柄和优先级标识符作为入口参数，函数原型为：
BOOL SetPriorityClass(HANDLE hProcess, DWORD dwPriorityClass);
对于前面没有设定优先级的例子代码，可以在子进程启动后由父进程来动态改变其优先级设置：
SetPriorityClass(pi.hProcess, HIGH_PRIORITY_CLASS);
或是由子进程在其启动后自行改变优先级设置，需要注意的是这时进程句柄应设置为子进程自身的句柄，可通过GetCurrentProcess（）函数来获取：
HANDLE hProcess = GetCurrentProcess();
SetPriorityClass(hProcess, HIGH_PRIORITY_CLASS);
进程的互斥运行
正常情况下，一个进程的运行一般是不会影响到其他正在运行的进程的。但是对于某些有特殊要求的如以独占方式使用串行口等硬件设备的程序就要求在其进程运行期间不允许其他试图使用此端口设备的程序运行的，而且此类程序通常也不允许运行同一个程序的多个实例。这就引出了进程互斥的问题。
实现进程互斥的核心思想比较简单：进程在启动时首先检查当前系统是否已经存在有此进程的实例，如果没有，进程将成功创建并设置标识实例已经存在的标记。此后再创建进程时将会通过该标记而知晓其实例已经存在，从而保证进程在系统中只能存在一个实例。具体可以采取内存映射文件、有名事件量、有名互斥量以及全局共享变量等多种方法来实现。下面就分别对其中具有代表性的有名互斥量和全局共享变量这两种方法进行介绍：
// 创建互斥量
HANDLE m_hMutex = CreateMutex(NULL, FALSE, "Sample07");
// 检查错误代码
if (GetLastError() == ERROR_ALREADY_EXISTS) {
// 如果已有互斥量存在则释放句柄并复位互斥量
CloseHandle(m_hMutex);
m_hMutex = NULL;
// 程序退出
return FALSE;
}
上面这段代码演示了有名互斥量在进程互斥中的用法。代码的核心是CreateMutex（）对有名互斥量的创建。CreateMutex（）函数可用来创建一个有名或无名的互斥量对象，其函数原型为：
HANDLE CreateMutex(
LPSECURITY_ATTRIBUTES lpMutexAttributes, // 指向安全属性的指针
BOOL bInitialOwner, // 初始化互斥对象的所有者
LPCTSTR lpName // 指向互斥对象名的指针
);
如果函数成功执行，将返回一个互斥量对象的句柄。如果在CreateMutex（）执行前已经存在有相同名字的互斥量，函数将返回这个已经存在互斥量的句柄，并且可以通过GetLastError（）得到错误代码ERROR_ALREADY_EXIST。可见，通过对错误代码ERROR_ALREADY_EXIST的检测可以实现CreateMutex（）对进程的互斥。
使用全局共享变量的方法则主要是在MFC框架程序中通过编译器来实现的。通过#pragma data_seg预编译指令创建一个新节，在此节中可用volatile关键字定义一个变量，而且必须对其进行初始化。Volatile关键字指定了变量可以为外部进程访问。最后，为了使该变量能够在进程互斥过程中发挥作用，还要将其设置为共享变量，同时允许具有读、写访问权限。这可以通过#pragma comment预编译指令来通知编译器。下面给出使用了全局变量的进程互斥代码清单：
#pragma data_seg("Shared")
int volatile g_lAppInstance =0;
#pragma data_seg()
#pragma comment(linker,"/section:Shared,RWS")
……
if(++g_lAppInstance》1)
return FALSE;
此段代码的作用是在进程启动时对全局共享变量g_nAppInstancd 加1 ，如果发现其值大于1，那么就返回FALSE以通知进程结束。这里需要特别指出的是，为了使以上两段代码能够真正起到对进程互斥的作用，必须将其放置在应用程序的入口代码处，即应用程序类的初始化实例函数InitInstance（）的开始处。
结束进程
进程只是提供了一段地址空间和内核对象，其运行是通过在其地址空间内的主线程来体现的。当主线程的进入点函数返回时，进程也就随之结束。这种进程的终止方式是进程的正常退出，进程中的所有线程资源都能够得到正确的清除。除了这种进程的正常推出方式外，有时还需要在程序中通过代码来强制结束本进程或其他进程的运行。ExitProcess（）函数即可在进程中的某个线程中使用，并将立即终止本进程的运行。ExitProcess（）函数原型为：
VOID ExitProcess(UINT uExitCode);
其参数uExitCode为进程设置了退出代码。该函数具有强制性，在执行完毕后进程即已经被结束，因此位于其后的任何代码将不能被执行。虽然ExitProcess（）函数可以在结束进程的同时通知与其相关联的动态链接库，但是由于它的这种执行的强制性，使得ExitProcess（）函数在使用上将存在有安全隐患。例如，如果在程序调用ExitProcess（）函数之前曾用new操作符申请过一段内存，那么将会由于ExitProcess（）函数的强制性而无法通过delete操作符将其释放，从而造成内存泄漏。有鉴于ExitProcess（）函数的强制性和不安全性，在使用时一定要引起注意。
ExitProcess（）只能强制执行本进程的退出，如果要在一个进程中强制结束其他的进程就要用TerminateProcess（）来实现。与ExitProcess（）不同，TerminateProcess（）函数执行后，被终止的进程是不会得到任何关于程序退出的通知的。也就是说，被终止的进程是无法在结束运行前进行退出前的收尾工作的。所以，通常只有在其他任何方法都无法迫使进程退出时才会考虑使用TerminateProcess（）去强制结束进程的。下面给出TerminateProcess（）的函数原型：
BOOL TerminateProcess(HANDLE hProcess, UINT uExitCode);
参数hProcess和uExitCode分别为进程句柄和退出代码。如果被结束的是本进程，可以通过GetCurrentProcess（）获取到句柄。TerminateProcess（）是异步执行的，在调用返回后并不能确定被终止进程是否已经真的退出，如果调用TerminateProcess（）的进程对此细节关心，可以通过WaitForSingleObject（）来等待进程的真正结束。
小结
多进程是多任务管理中的重要内容，文中上述部分对其基本概念和主要的技术如子进程的创建与结束、进程间的互斥运行等做了较详细的介绍。通过本文读者应能对多进程管理有一个初步的认识。

svchost.exe进程是干什么的

分类: 电脑/网络 》》 操作系统/系统故障
解析:

svchost.exe是nt核心系统的非常重要的进程，对于2000、xp来说，不可或缺。很多病毒、木马也会调用它。所以，深入了解这个程序，是玩电脑的必修课之一。

大家对windows操作系统一定不陌生，但你是否注意到系统中“svchost.exe”这个文件呢？细心的朋友会发现windows中存在多个 “svchost”进程（通过“ctrl+alt+del”键打开任务管理器，这里的“进程”标签中就可看到了），为什么会这样呢？下面就来揭开它神秘的面纱。

发现

在基于nt内核的windows操作系统家族中，不同版本的windows系统，存在不同数量的“svchost”进程，用户使用“任务管理器”可查看其进程数目。一般来说，win2000有两个svchost进程，winxp中则有四个或四个以上的svchost进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而win2003 server中则更多。这些svchost进程提供很多系统服务，如：rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等。
如果要了解每个svchost进程到底提供了多少系统服务，可以在win2000的命令提示符窗口中输入“tlist -s”命令来查看，该命令是win2000 support tools提供的。在winxp则使用“tasklist /svc”命令。

svchost中可以包含多个服务

深入

windows系统进程分为独立进程和共享进程两种，“svchost.exe”文件存在于“%systemroot% system32”目录下，它属于共享进程。随着windows系统服务不断增多，为了节省系统资源，微软把很多服务做成共享方式，交由 svchost.exe进程来启动。但svchost进程只作为服务宿主，并不能实现任何服务功能，即它只能提供条件让其他服务在这里被启动，而它自己却不能给用户提供任何服务。那这些服务是如何实现的呢？

原来这些系统服务是以动态链接库（dll）形式实现的，它们把可执行程序指向 svchost，由svchost调用相应服务的动态链接库来启动服务。那svchost又怎么知道某个系统服务该调用哪个动态链接库呢？这是通过系统服务在注册表中设置的参数来实现。下面就以rpcss（remote procedure call）服务为例，进行讲解。

从启动参数中可见服务是靠svchost来启动的。

实例

以windows xp为例，点击“开始”/“运行”，输入“services.msc”命令，弹出服务对话框，然后打开“remote procedure call”属性对话框，可以看到rpcss服务的可执行文件的路径为“c:\windows\system32\svchost -k rpcss”，这说明rpcss服务是依靠svchost调用“rpcss”参数来实现的，而参数的内容则是存放在系统注册表中的。

在运行对话框中输入“regedit.exe”后回车，打开注册表器，找到项，找到类型为“reg_expand_sz”的键“magepath”，其键值为“%systemroot%system32svchost -k rpcss”（这就是在服务窗口中看到的服务启动命令），另外在“parameters”子项中有个名为“servicedll”的键，其值为“% systemroot%system32rpcss.dll”，其中“rpcss.dll”就是rpcss服务要使用的动态链接库文件。这样 svchost进程通过读取“rpcss”服务注册表信息，就能启动该服务了。

解惑

因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，在受感染的机器中到底哪个是病毒进程呢？这里仅举一例来说明。

假设windows xp系统被“w32.welchia.worm”感染了。正常的svchost文件存在于“c:\windows\system32”目录下，如果发现该文件出现在其他目录下就要小心了。“w32.welchia.worm”病毒存在于“c:\windows\system32wins”目录中，因此使用进程管理器查看svchost进程的执行文件路径就很容易发现系统是否感染了病毒。windows系统自带的任务管理器不能够查看进程的路径，可以使用第三方进程管理软件，如“windows优化大师”进程管理器，通过这些工具就可很容易地查看到所有的svchost进程的执行文件路径，一旦发现其执行路径为不平常的位置就应该马上进行检测和处理。

由于篇幅的关系，不能对svchost全部功能进行详细介绍，这是一个windows中的一个特殊进程，有兴趣的可参考有关技术资料进一步去了解它。