通过NtQueryInformationProcess查找一个进程的父进程
2015-04-24 14:09
441 查看
typedef struct _PROCESS_BASIC_INFORMATION { PVOID Reserved1; PPEB PebBaseAddress; PVOID Reserved2[2]; ULONG_PTR UniqueProcessId; PVOID Reserved3; } PROCESS_BASIC_INFORMATION;
Reserved3即父进程id,类型为ULONG_PTR。
接下来才是重点:
每个进程在其生命周期内,系统底层都有一个EPROCESS与之一一对应,此EPROCESS中记录着此进程的父进程ID,但当其父进程生命周期结束时,此进程的EPROCESS并不会更新其父进程ID。
当我们通过PROCESS_BASIC_INFORMATION获取到一个进程P1的父进程的ID时,获取到的其实是P1被创建时创建者进程P1CREATER的id,此时,进程P1CREATER可能已经退出了,而且很有可能此id已被其他进程P2复用了,如果我们在自己的的逻辑层认为此id所对应的进程P2就是我们要找的进程P1的父进程,是不对的,因为进程P1的父进程应该是是进程P1CREATER。
我们需要做的是进一步获取此id此刻所对应进程P2的创建时间和进程P1的创建时间,如果进程P2的创建时间比进程P1的创建时间晚,此id是一个被复用的id,它所对应的进程P2并不是进程P1的父进程,相反,如果进程P2的创建时间比进程P1的创建时间早,则此id所对应的进程P2就是创建进程P1的进程,也就是进程P1的父进程。
综上所述,我们无法在一个进程正在运行时准确确定它的父进程是谁,但是我们可以监控进程的创建和退出,在进程创建和退出时准确记录进程父子关系。
相关文章推荐
- v$process v$sesson 通过会话号查找进程号 查看会话信息
- delphi R3下 跨进程获取DLL信息 NtQueryInformationProcess
- 通过netstat+rmsock查找AIX端口对应进程
- 通过WriteProcessMemory改写进程的内存
- C# 查找、结束进程 - 通过进程名精确、模糊查找、结束进程
- FindProcess 查找进程
- 查找和杀死一个进程CreateToolhelp32Snapshot函数
- 如何通过一个值查找到值所在的SQL数据库表
- 通过v$bgprocess查看后台进程
- 启动结束进程;PROCESS_INFORMATION;CreateProcess;ZeroMemory;TerminateProcess;ShellExecute
- android:process为耗资源操作指定一个新进程
- 通过端口号查找进程号并杀掉进程window和Linux版本
- 关于一个应用进程打开另外一个应用进程的TASK和PROCESS 说明
- 通过进程Process启动或关闭程序
- 内存管理[5]通过 GetProcessHeaps 函数获取了当前进程的堆句柄列表
- 在一个进程中启动另一个进程---CreateProcess API
- 要对一个任意进程(包括系统安全进程和服务进程)进行指定了相关的访问权 [OpenProcessToken,LookupPrivilegeValue,AdjustTokenPrivileges]
- 利用NtQuerySystemInformation函数遍历进程,遍历线程,获取线程挂起或运行状态
- 二级菜单通过一个ID查找父级ID
- 通过WriteProcessMemory改写进程的内存