Windows任务管理器开发原理与实现文档格式.docx
《Windows任务管理器开发原理与实现文档格式.docx》由会员分享，可在线阅读，更多相关《Windows任务管理器开发原理与实现文档格式.docx（7页珍藏版）》请在冰豆网上搜索。
进程的父进程标识符（,创建时间（,程序名称等在很多情况下也是我们关心的信息。
我们再看看进程相关的性能信息。
在下通常有两种模式:
内核模式（:
0和用户模式（:
3,进程往往在两种模式中来回切换,所以可以获得进程在内核模式和用户模式各自的使用时间。
同时还包括进程相关的工作集（,分页池（,非分页池（和页面文件（信息。
进程相关的操作包括读/写/其他等动作,我们可以获得这些操作的次数和传送数据的数量。
如果您怀疑某个进程是木马,那您还想获得哪些信息呢?
简单的进程名称应该是不够的吧!
我们希望获得进程的实际程序的路径,这样可以帮助我们判断究竟是那个程序在运行。
前段时间不是在讨论什么进程隐藏的,其中一种就是“创建远程线程”,而注体往往又是以动态链接库（的形式存在的,我们就希望看到某个具体进程所包含的所有模块（,常常是也。
“线程”是一个大家熟悉的名字,它是
系统中的实现体,而进程则是线程运行的环境。
一个进程到底创建了多少线程了?
我们同样可以枚举进程内部的所有线程信息。
如果您发现一个木马进程,下面的动作就应该是分析它的运行机制（如果您对它感兴趣,不过最终您还是要将它结束吧。
在2k下,很多系统关键进程在里是不能被结束的,不过现在您不用担心了。
好的,对进程的操作当然就包括结束进程。
如果您用过中文的,您是否常常遇到任务栏“假死”的情况,虽然您的电脑没有挂掉,但却动弹不得,那好我们也同样可以将任意的进程挂起来,不管您对它做什么动作（除了结束,它都不会有任何的反应。
有了挂起进程,同样我们也可以将进程从“挂起”状态激活哈。
桌面窗口是大家接触得最多的交互界面了,您是否想获得每个窗口的标题信息呢?
当然我们还可以获得与窗口关联的进程,线程与窗口句柄属性。
如果大家对比较熟悉,就应该知道其中的一个工具吧,它就可以获得桌面窗口,进程和线程的详细信息,不过现在就不用打开这个,打开那个了,通通搞定了!
系统性能是每个用户关心的话题。
它包括整个系统当前创建的句柄,进程以及线程的数目。
还有物理存储器（的总量和使用情况,系统高速缓存（的大小,存储器保留与提交（状况,当然还有核心分页/非分页池（的使用情况。
几乎包括了系统下存储器管理的大部分信息。
虽然现在硬盘的价格已经很低了,不过我还是在用6.4G的小东东,所以常常遇到“”!
我们常常要看看硬盘的使用情况,不过每次都要进入我的电脑,太麻烦了。
而我们现在可以一次了解所有磁盘的容量和当前使用情况,同时还有它们的格式类型（如等和磁盘标签。
说到环境块,或许不是那么熟悉吧,它包含一些环境变量,而每个环境变量对应一个/多个字符串,您可以在控制面板的（系统/高级里对它们进行设置,包括添加新的环境变量,删除和编辑系统环境变量。
事件记录对我们分析系统的使用情况有很大的帮助。
事件记录分为三种:
应用程序,系统和安全。
而对应的每种事件又可以分为几种类型,它们分别是常规信息,警告和错误。
其中包括记录序号（,事件类型（,标识符（,来源（,产生时间（,用户名（和相关描述信息（。
有时间大家可以多看看事件信息,当然每个网络管理员对它们应该是很熟悉的,不过还包括其他的事件日志信息。
系统下的这个命令我是常常用,因为我们使用的是,没事看看自己的地址变了没有。
其中包括详细的网络适配器的信息,包括适配器名称,描述,硬件地址和类型,地址及相应的子网掩码,网关与服务器地址等。
不过您是否对网络流量也感兴趣呢?
我们当然可以获得主机接受/发送了多少（非广播数据报,出现了多少错误,一共接受/发送了多少信息,这些对每个网友都是有用的信息哟。
网络共享往往是大家注意的地方,您究竟共享了多少信息,它们的文件路径是什么,还有它们的共享类型信息。
我们在不需要某些共享资料时,当然不要忘了将其删除,以免泄露自己的机密信息。
的是一个多用户的系统,允许多种类型用户的存在。
我们希望获得用户账号的使用期限（,记住要不定时的修改用户的密码哟,以及用户标识符（,组标识符（,还有用户账号的类型（,不同的类型有不同的权限,我们当然希望有最的权力哟!
看看系统对某
个账号的磁盘空间使用情况是否有限制（,账号登录的次数（和登录时间信息（等,对我们分析用户的使用情况也有帮助的。
系统的32服务和设备驱动信息也是很重要的,我们希望探测每个服务/设备启动程序的具体路径,状态,类型,启动方式等等信息。
我们还希望对服务进行控制,比如停止,启动和删除操作。
大家可以参阅《浅析2000服务与后门技术》获得更多关于32服务的信息。
关机也不是那么的单调的,您可以注销自己的系统,如果您要离开当然就需要锁定了。
最近大家都不喜欢关机,太麻烦了,所以都习惯使用冬眠,系统将会为我们保留当前信息,不过还有支持电源管理的关机和休眠。
2000的用户注意了,我们同样可以使用系统下的带有到记时与消息提示的关机和重启功能了。
系统的版本信息是比较固定的,主要包括操作系统的指纹,注册组织/用户,主机名和系统相关目录等信息。
说了这么多,我们也该谈谈如何实现了。
1.窗口信息
为我们提供了打开特定桌面和枚举桌面窗口的函数。
（,0;
打开我们默认的桌面;
（,（,0;
枚举打开桌面上的所有窗口,由回调函数实现。
（,;
在回调函数中,我们可以获得窗口的标题和相关进程,线程信息;
（;
2.设备驱动器信息（服务和设备驱动器差不多,在此不做重复
设备驱动信息有服务控制管理器（来管理的,我要打开服务控制管理器,并枚举所有的设备驱动器。
（;
以所有权限打开服务控制管理器;
（,
枚举所有设备的当前状态;
记住,在结束访问后要关闭服务句柄;
打开特定的设备驱动器;
1024*8;
查询驱动器的服务配置信息;
查询设备驱动器的当前状态;
2（,
（,8*1024
查询设备的描述信息;
启动设备;
停止设备;
删除设备;
3.磁盘信息
我们希望获得系统所有磁盘的信息,包括软盘,硬盘,光盘等等;
获得逻辑设备的信息;
;
获得磁盘卷信息,包括卷名称和格式类型;
探测磁盘的空间使用情况;
4.环境变量
我们可以从注册表中获得环境块的信息:
\\\\\,当然要使用注册表的函数。
打开注册表的键;
查询我们需要的信息值;
（,1024;
获得环境变量的字符串信息;
5.事件记录信息
打开时间日志记录;
获得最新的日志信息,以便继续查找;
（│,
0,1024*32
读去日志信息;
获取账户的,以便获得账户的用户名称;
获得事件日志的总数;
不要忘记关闭事件句柄;
6.网络共享
我们使用第二等级的网络共享搜索;
（,（
*;
列举所有的共享目录及相关信息;
释放缓冲区;
（,（*,0;
删除网络共享目录;
7.网络适配器信息
我们要探测的信息和网络流量;
获取适配器信息;
8.系统性能
获取系统的存储器使用情况;
（（
获取系统性能信息;
9.进程/线程/模块信息
在此我们使用工具帮助函数（32和系统
（（│;
打开进程的令牌,提升权限;
（（;
将进程的权限提升到支持调试（;
32（32,0;
创建进程的快照;
32（32;
枚举所有进程;
（3232;
打开特定进程,以查询进程相关信息;
获取进程的时间信息;
获取进程的存储区信息;
获取进程的优先权；
（；
获取进程的使用情况；
32（32,;
创建模块快照；
32（,32；
枚举进程模块信息；
32（32,0;
创建线程快照；
枚举线程信息；
（3232;
打开线程，须自己获得此函数地址；
（,0；
终止进程；
悬挂线程；
激活线程；
10.关机（（;
调整进程令牌，使其支持关机；
注销系统；
锁定系统；
支持到记时和消息显示的关机/重启；
系统休眠/冬眠；
11.用户信息（,（*,;
枚举系统用户信息；
删除指定用户；
12.系统版本信息（（；
获取操作系统的版本信息；
我们也可以通过注册表（\\\\获取相关信息：
获取开机时间；
获取计算机名称；
获取计算机用户名；
（1;
获取目录；
获取系统目录；
小结：
虽然我们现在已经实现了任务管理器的各项功能，甚至比自带的功能还要强大，不过却没有什么兴奋的感觉。
因为看看我们的代码，您就会发现那些都是直接调用的32函数，但是我们清楚系统底层究竟是怎么实现的吗？
不管我们是否只是为了实现一个功能，还是对操作系统感兴趣，我们都应该更多的对系统底层进行研究，而不仅仅是只会使用高层函数的程序员。
虽然微软为我们隐藏了很多的内部细节，但正是这种底层的秘密激发了我们对其进行深入研究的兴趣和动力。
关于我们：
5主要从事网络/系统安全的学习与研究，深入编程技术的剖析与探讨，坚持原创，追求共享。
5主页：
升级会员 