四种方法实现VC枚举系统当前进程

适合读者：程序员
前置知识：C语言基本阅读能力
四种方法实现VC枚举系统当前进程
文/图 Scuhkr/编程浪子
在Windows 2000以上的MS操作系统，通过Windows的任务管理器可以列出当前系统的所有活动进程（如图1所示），在Windows XP中，更是在控制台下增加了一条Tasklist命令，让系统下的所有进程无所遁行（如图2所示）。这一切是怎么实现的呢？

图 1

图 2
引用侯捷大师在《深入浅出MFC》的一句话，“知其然而不知其所以然，真不是个好办法”。既然如此，我们干脆自己动手，自己通过编程来实现吧，这样很有成就感哦！以下所有代码均在Windows XP SP1+VC6.0 sp6编译环境下通过。Ok，Let’ go!

方法一
第一种方法是大家比较熟悉的通过ToolHelp Service提供的API函数来实现。这里用到了3个关键的函数：CreateToolhelp32Snapshot()，Process32First()和Process32Next()。下面给出了关于这三个函数的原形和参数说明;
HANDLE WINAPI CreateToolhelp32Snapshot(
DWORD dwFlags, //系统快照要查看的信息类型
DWORD th32ProcessID      //值0表示当前进程
);
BOOL WINAPI Process32First(
HANDLE hSnapshot,        //CreateToolhelp32Snapshot()创建的快照句柄
LPPROCESSENTRY32 lppe //指向进程入口结构
);
BOOL WINAPI Process32Next(
HANDLE hSnapshot,        //这里参数同Process32First
LPPROCESSENTRY32 lppe //同上
);
首先使用CreateToolhelp32Snapshot()创建系统快照句柄（hprocess是我们声明用来保存创建的快照句柄）：
hProcess=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
然后调用Process32First()获得系统快照中的第一个进程信息（Report是BOOL型作为判断系统快照中下一条进程记录）：
        report=Process32First(hProcess,pinfo);
接着用一个循环调用来遍历系统中所有运行的进程：
        while(report)
        {
        hModule=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,pinfo->th32ProcessID);
                Module32First(hModule, minfo);
                GetShortPathName(minfo->szExePath,shortpath,256);
                printf("%s --- %s ",pinfo->szExeFile,shortpath);
                report=Process32Next(hProcess, pinfo);
        }
笔者曾通过对Pstools工具包里的Pslist.exe反编译，发现该工具用的就是这种方法。如果你查询MSDN，可以找到一个比这个功能更加完善的源程序。

方法二
第二种方法也很常见，通过MSDN就可以找到例子代码，它是通过Psapi.dll提供的API函数EnumProcesses和EnumProcessModules来实现。有一点要说明的是，Visual Studio提供的SDK包里没有提供相应的Psapi.h和与之相对应的导入库，笔者当时就很纳闷，MSDN里的例子居然编译不通，后来才发现，编译时根本找不到“psapi.h”。呵呵，还好，MSDN至少告诉我们他们都包含Psapi.dll里，用VC自带的Depend工具一查，果然。这样就好办了，我们可以自己找到这些函数入口地址。

小知识：C也好C++也好，一般的函数名本质上都是一个地址，在Win32的API里，它是指向函数所在Dll模块里函数实现的入口地址。

下面是第二种方法的实现过程：首先，先把Psapi.dll里要用到函数都定义好，方便后面显示调用。
//在psaipi.dll中的函数EnumProcesses用来枚举进程
typedef BOOL (_stdcall *ENUMPROCESSES)( //注意这里要指明调用约定为-stdcall
        DWORD* pProcessIds, //指向进程ID数组链
        DWORD cb,                         //ID数组的大小，用字节计数
        DWORD* pBytesReturned);   //返回的字节
//在psapi.dll中的函数EnumProcessModules用来枚举进程模块
typedef BOOL (_stdcall *ENUMPROCESSMODULES)(
        HANDLE hProcess,                 //进程句柄
        HMODULE* lphModule,        //指向模块句柄数组链
        DWORD cb,                                //模块句柄数组大小，字节计数
        LPDWORD lpcbNeeded);   //存储所有模块句柄所需的字节数
//在psapi.dll中的函数GetModuleFileNameEx获得进程模块名
typedef DWORD (_stdcall *GETMODULEFILENAMEEX)(
        HANDLE hProcess,                        //进程句柄
        HMODULE hModule,                        //进程句柄
        LPTSTR lpFilename,                        //存放模块全路径名
        DWORD nSize                                //lpFilename缓冲区大小，字符计算
);

好，通过每个定义的函数前的注释你可以清楚看到这些原函数名，然后当然要加载包含这些函数模块Psapi.dll啦：
        hPsDll = LoadLibrary("PSAPI.DLL");
接着，通过Dll入口，我们查找每个函数地址：
pEnumProcesses =
(ENUMPROCESSES)GetProcAddress(hPsDll, "EnumProcesses");
pEnumProcessModules =
(ENUMPROCESSMODULES)GetProcAddress(hPsDll, "EnumProcessModules");
pGetModuleFileNameEx =
                (GETMODULEFILENAMEEX)GetProcAddress(hPsDll, "GetModuleFileNameExA");
注意第三个函数名GetModuleFileNameExA，在Dll里有以A和W结尾区分函数，A指采用的是ANSI字符串方式，W则是UNICODE方式。于是，我们可以用下面的语句枚举进程：
pEnumProcesses(processid, sizeof(processid), &needed);
        processcount=needed/sizeof(DWORD);

        for (i=0;i<processcount;i++)
        {
                //打开进程
                hProcess=OpenProcess(PROCESS_QUERY_INFORMATION|PROCESS_VM_READ,
false, processid[i]);
                if (hProcess)
                {

补充：软件开发 , Vc ,