此文又本文整理，文章部分来自互联网，涉及版权问题，请联系！
实例代码均为本人提供，您可以任意转载，复制，传播，以及商业用途，需注明来自本博客
from: http://blog.csdn.net/wanfustudio Author: wanfustudio
Windows2000/XP内含的任务管理器(Taskmgr)相信大家都熟悉吧，相比之下XP里的要比2000功能更加强大，返回的信息也更加的详细，不过您是否觉得还有很多希望获得的消息没有包含在里面吗？您是否觉得 Windows的系统管理工具箱里的东西太分散了吗？下面就让我们看看它们的开发原理，并动手实现一个真正的任务管理器。现在我们是调用Win32API 来实现这些功能的，但是大家都说MS隐藏了太多的细节，以后我们将讨论更多关于Windows内核的东东。可能大家对任务管理器里最熟悉的功能要数进程管理了，常常我们在怀疑中了病毒/木马的时候都会看看任务管理器里有没有什么特别的进程在运行，所以进程查看器应该是一个非常重要的功能。我们除了需要获得进程的名称外，还有什么呢？当然包括它的进程标识符(ProcessID)，用户信息 (UserName)，CPU使用时间(CPUTime)和存储器的使用情况(MemoryUsage)，还有它的优先权(BasePriority)。 CPU和Memory信息可以帮助我们分析进程的运行情况，而优先权可以表示进程在CPU分配处理器使用时的优先情况。这些都是通用的进程信息，让我们再看看其他的信息吧。进程的父进程标识符(Parent Process ID)，创建时间(Create Time)，程序名称等在很多情况下也是我们关心的信息。我们再看看进程相关的性能信息。在Windows下通常有两种模式：内核模式(Kernel: Level 0)和用户模式(User: Level 3)，进程往往在两种模式中来回切换，所以可以获得进程在内核模式和用户模式各自的使用时间。同时还包括进程相关的工作集(WorkingSet)，分页池(PagedPool)，非分页池(NonePagedPool)和页面文件(PageFile）信息。进程相关的I/O*作包括读/写/其他等动作，我们可以获得这些*作的次数和传送数据的数量。如果您怀疑某个进程是木马，那您还想获得哪些信息呢？简单的进程名称应该是不够的吧！我们希望获得进程的实际程序的路径，这样可以帮助我们判断究竟是那个程序在运行。前段时间不是在讨论什么进程隐藏的，其中一种就是“创建远程线程”，而注体往往又是以动态链接库(DLL)的形式存在的，我们就希望看到某个具体进程所包含的所有模块(Module)，常常是DLL也。“线程”是一个大家熟悉的名字，它是Windows系统中的实现体，而进程则是线程运行的环境。一个进程到底创建了多少线程了？我们同样可以枚举进程内部的所有线程信息。如果您发现一个木马进程，下面的动作就应该是分析它的运行机制(如果您对它感兴趣)，不过最终您还是要将它结束吧。在Windows2k下，很多系统关键进程在TaskMgr里是不能被结束的，不过现在您不用担心了。好的，对进程的*作当然就包括结束进程。如果您用过中文的XP，您是否常常遇到任务栏“假死”的情况，虽然您的电脑没有挂掉，但却动弹不得，那好我们也同样可以将任意的进程挂起来，不管您对它做什么动作(除了结束)，它都不会有任何的反应。有了挂起进程，同样我们也可以将进程从“挂起”状态激活哈。桌面窗口是大家接触得最多的交互界面了，您是否想获得每个窗口的标题信息呢？当然我们还可以获得与窗口关联的进程，线程与窗口句柄属性。如果大家对VC比较熟悉，就应该知道其中的一个SPY++工具吧，它就可以获得桌面窗口，进程和线程的详细信息，不过现在就不用打开这个，打开那个了，通通搞定了！系统性能是每个用户关心的话题。它包括整个系统当前创建的句柄，进程以及线程的数目。还有物理存储器(Physical Memory)的总量和使用情况，系统高速缓存(System Cache)的大小，存储器保留与提交(Commit Charge)状况，当然还有核心分页/非分页池(Kernel Memory)的使用情况。几乎包括了Windows系统下存储器管理的大部分信息。虽然现在硬盘的价格已经很低了，不过我还是在用6.4G的小东东，所以常常遇到“Low Disk”！我们常常要看看硬盘的使用情况，不过每次都要进入我的电脑，太麻烦了。而我们现在可以一次了解所有磁盘的容量和当前使用情况，同时还有它们的格式类型(如FAT,NTFS,CDFS等)和磁盘标签。说到环境块，或许不是那么熟悉吧，它包含一些环境变量，而每个环境变量对应一个/多个字符串，您可以在控制面板的SYSTEM/Advanced（系统/高级）里对它们进行设置，包括添加新的环境变量，删除和编辑系统环境变量。事件记录对我们分析系统的使用情况有很大的帮助。事件记录分为三种：应用程序，系统和安全。而对应的每种事件又可以分为几种类型，它们分别是常规信息，警告和错误。其中包括记录序号(Record Number)，事件类型(Type)，标识符(Event ID)，来源(Source)，产生时间(Time Generated)，用户名(User)和相关描述信息(Description)。有时间大家可以多看看事件信息，当然每个网络管理员对它们应该是很熟悉的，不过还包括其他的事件日志信息。Windows系统下的ipconfig /all这个命令我是常常用，因为我们使用的是DHCP，没事看看自己的IP地址变了没有。其中包括详细的网络适配器的信息，包括适配器名称，描述，硬件地址和类型，IP地址及相应的子网掩码，网关与DHCP服务器地址等。不过您是否对网络流量也感兴趣呢？我们当然可以获得主机接受/发送了多少（非）广播数据报，出现了多少错误，一共接受/发送了多少信息，这些对每个网友都是有用的信息哟。网络共享往往是大家注意的地方，您究竟共享了多少信息，它们的文件路径是什么，还有它们的共享类型信息。我们在不需要某些共享资料时，当然不要忘了将其删除，以免泄露自己的机密信息。Windows的NT是一个多用户的系统，允许多种类型用户的存在。我们希望获得用户账号的使用期限(Password Expired)，记住要不定时的修改用户的密码哟，以及用户标识符(User ID)，组标识符(Group ID)，还有用户账号的类型(Type)，不同的类型有不同的权限，我们当然希望有最High的权力哟！看看系统对某个账号的磁盘空间使用情况是否有限制 (Max Storage)，账号登录的次数(Number Of Logon)和登录时间信息(Logon Hours)等，对我们分析用户的使用情况也有帮助的。系统的Win32服务和设备驱动信息也是很重要的，我们希望探测每个服务/设备启动程序的具体路径，状态，类型，启动方式等等信息。我们还希望对服务进行控制，比如停止，启动和删除*作。大家可以参阅《浅析Windows2000/XP服务与后门技术》获得更多关于Win32服务的信息。关机也不是那么的单调的，您可以注销自己的系统，如果您要离开当然就需要锁定了。最近大家都不喜欢关机，太麻烦了，所以都习惯使用冬眠，系统将会为我们保留当前信息，不过还有支持电源管理的关机和休眠。Windows2000的用户注意了，我们同样可以使用XP系统下的带有到记时与消息提示的关机和重启功能了。系统的版本信息是比较固定的，主要包括*作系统的指纹，注册组织/用户，主机名和系统相关目录等信息。说了这么多，我们也该谈谈如何实现了。 1.窗口信息MS为我们提供了打开特定桌面和枚举桌面窗口的函数。hDesk=OpenDesktop(lpszDesktop,0,FALSE,DESKTOP_ENUMERATE);//打开我们默认的Default桌面；EnumDesktopWindows(hDesk,(WNDENUMPROC)EnumWindowProc,0);//枚举打开桌面上的所有窗口，由回调函数实现。BOOL __stdcall EnumWindowProc(HWND, LPARAM);//在回调函数中，我们可以获得窗口的标题和相关进程，线程信息；GetWindowText(hWnd,szWindowText,dwMaxCount);GetWindowThreadProcessId(hWnd,&dwPID);//窗口状态,使用user32.dll未公开函数typedef BOOL (WINAPI *PROCISHUNGAPPWINDOW)(HWND); //指向Undocmented API IsHungUpWindowtypedef BOOL (WINAPI *PROCISHUNGTHREAD)(DWORD); //指向Undocmented API IsHungThreadPROCISHUNGAPPWINDOW IsHungAppW; //判断应用程序状态指针函数PROCISHUNGTHREAD IsHungThread; //判断应用程序状态指针函数bool WINAPI GetAppStatus(HWND hwnd){ HMODULE hUser32 = GetModuleHandle("user32"); if (!hUser32) { PrintModuleDbgInfo(NULL,2,"2","Load USER32.DLL ERROR"); return FALSE; } IsHungAppW = (PROCISHUNGAPPWINDOW) //加载未公开的APIIsHungAppwindow GetProcAddress( hUser32, "IsHungAppWindow" ); IsHungThread = (PROCISHUNGTHREAD) //加载未公开的APIIsHungThread GetProcAddress( hUser32, "IsHungThread" ); if (!IsHungAppW && !IsHungThread) { return FALSE; } OSVERSIONINFO osver; //取操作系统版本 osver.dwOSVersionInfoSize = sizeof(OSVERSIONINFO); if (! GetVersionEx(&osver)) { return FALSE; } BOOL IsHung = FALSE; if (osver.dwPlatformId&VER_PLATFORM_WIN32_NT)//如果是NT { IsHung = IsHungAppW(hwnd); } else //其他OS { IsHung = IsHungThread(GetWindowThreadProcessId(hwnd,NULL)); } if (IsHung) { return FALSE; } return TRUE;}//关闭程序 @发送关闭消息到窗口(必需知道窗口句柄) 不能通过FindWindow根据窗口标题获取其句柄,因为标题不唯一 SendMessage(hwnd, Msg,NULL);//blocked PostMessage(hwnd,Msg,NULL); //non-blockedBOOL CloseApp(long hwnd){ if (hwnd) { BOOL Ret = PostMessage((HWND)(hwnd), WM_CLOSE, 0, 0); //发送关闭消息 if (TRUE == Ret) { return TRUE; } else { return FALSE; } } return FALSE; } @关闭该程序的主进程TerminateProcessBOOL KillProcessByNO(DWORD dwPID){ HANDLE hdle = OpenProcess( //返回进程句柄 PROCESS_ALL_ACCESS, //访问权限 TRUE, dwPID //进程ID ); if (hdle != NULL) { BOOL Ret = TerminateProcess(hdle, NULL);//调用API结束进程 CloseHandle(hdle); return Ret; } return FALSE;}2.设备驱动器信息(服务和设备驱动器差不多，在此不做重复)设备驱动信息有服务控制管理器(SCM)来管理的，我要打开服务控制管理器，并枚举所有的设备驱动器。OpenSCManager(NULL,NULL,SC_MANAGER_ALL_ACCESS);//以所有权限打开服务控制管理器；EnumServicesStatus(schManager,dwDeviceType,dwDeviceState,EnumStatus,dwBufSize,&dwBytesNeeded,&dwDevicesReturned,&dwResumeHandle))//枚举所有设备的当前状态；CloseServiceHandle(schManager);//记住，在结束访问后要关闭服务句柄；OpenService(schManager,szDeviceName,SERVICE_ALL_ACCESS);//打开特定的设备驱动器；QueryServiceConfig(schDevice,lpDeviceConfig,1024*8,&dwBytesNeeded)；//查询驱动器的服务配置信息；QueryServiceStatus(schDevice,&DeviceStatus)；//查询设备驱动器的当前状态；QueryServiceConfig2(schDevice,SERVICE_CONFIG_DESCRIPTION,(LPBYTE)lpDeviceDescription,8*1024,&dwBytesNeeded)//查询设备的描述信息；StartService(schDevice,0,NULL)；//启动设备；ControlService(schDevice,SERVICE_CONTROL_STOP,&DeviceStatus)；//停止设备；DeleteService(schDevice)；//删除设备；3.磁盘信息我们希望获得系统所有磁盘的信息，包括软盘，硬盘，光盘等等；GetLogicalDriveStrings(dwBufferLength,lpBuffer);//获得逻辑设备的信息；GetVolumeInformation(lpRootPathName,lpVolumeNameBuffer,dwVolumeNameSize,&dwVolumeSerialNumber,&dwMaximumComponentLength,&dwFileSystemFlags,lpFileSystemNameBuffer,dwFileSystemNameSize);//获得磁盘卷信息，包括卷名称和格式类型；GetDiskFreeSpaceEx(lpRootPathName,&FreeBytesAvailable,&TotalNumberOfBytes,&TotalNumberOfFreeBytes);//探测磁盘的空间使用情况；4.环境变量我们可以从注册表中获得环境块的信息：HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Session Manager/Environment，当然要使用注册表的函数。RegOpenKeyEx(HKEY_LOCAL_MACHINE,RegKey,0,KEY_QUERY_VALUE,&hKey);//打开注册表的键；RegEnumValue(hKey,dwIndex,EnvironVariable,&dwVariableLength,NULL,NULL,NULL,NULL);//查询我们需要的信息值；GetEnvironmentVariable(EnvironVariable,EnvironString,1024);//获得环境变量的字符串信息；5.事件记录信息OpenEventLog(NULL,szLog);//打开时间日志记录；GetOldestEventLogRecord(hEvent,&dwThisRecord);//获得最新的日志信息，以便继续查找；ReadEventLog(hEvent,EVENTLOG_FORWARDS_READ │ EVENTLOG_SEQUENTIAL_READ,0,pEventLogRecord,1024*32,&dwRead,&dwNeeded)//读去日志信息；LookupAccountSid(NULL,pSid,szName,&dwName,szDomain,&dwDomain,&SNU)；//获取账户的SID，以便获得账户的用户名称；GetNumberOfEventLogRecords(hEvent,&dwTotal)；//获得事件日志的总数；CloseEventLog(hEvent);//不要忘记关闭事件句柄；6.网络共享我们使用第二等级的网络共享搜索；NetShareEnum(NULL,dwLevel,(PBYTE *)&pBuf,MAX_PREFERRED_LENGTH,&entriesread,&totalentries,&resume);//列举所有的共享目录及相关信息；NetApiBufferFree(pBuf);//释放缓冲区；NetShareDel(NULL,(char *)lpShareNameW,0);//删除网络共享目录；7.网络适配器信息我们要探测NIC的信息和网络流量；GetAdaptersInfo(&AdapterInfo,&OutBufLen);//获取适配器信息；8.系统性能获取系统的存储器使用情况；GetPerformanceInfo(&PerfInfo,sizeof(PERFORMACE_INFORMATION))//获取系统性能信息；9.进程/线程/模块信息在此我们使用工具帮助函数(ToolHelp32)和系统OpenProcessToken(GetCurrentProcess(),TOKEN_QUERY │ TOKEN_ADJUST_PRIVILEGES,&hToken)；//打开进程的令牌，提升权限；AdjustTokenPrivileges(hToken,FALSE,&TokenPrivileges,sizeof(TOKEN_PRIVILEGES),NULL,NULL);//将进程的权限提升到支持调试(Debug)；CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);//创建进程的快照；Process32First(hProcessSnap,&ProcessEntry32)；Process32First(hProcessSnap,&ProcessEntry32)；//枚举所有进程；OpenProcess(PROCESS_QUERY_INFORMATION,FALSE,ProcessEntry32.th32ProcessID);//打开特定进程，以查询进程相关信息；GetProcessTimes(hProcess,&CreateTime,&ExitTime,&KernelTime,&UserTime)；//获取进程的时间信息；GetProcessMemoryInfo(hProcess,&PMCounter,sizeof(PMCounter))；//获取进程的存储区信息；//获取进程CPU使用率1.windows性能计数器参见:http://blog.csdn.net/wanfustudio/archive/2007/01/13/1481798.aspx2.Native API, NtQuerySystemInfomationUINT GetCPUUsage(){ SYSTEM_PERFORMANCE_INFORMATION SysPerfInfo; SYSTEM_TIME_INFORMATION SysTimeInfo; SYSTEM_BASIC_INFORMATION SysBaseInfo; double dbIdleTime = 0.0; //空闲时间 double dbSystemTime = 0.0; //系统时间 UINT uRet = 0; LONG status = 0; BOOL bLoop = FALSE; LARGE_INTEGER liOldIdleTime = {0,0}; LARGE_INTEGER liOldSystemTime = {0,0}; NtQuerySystemInformation = (PROCNTQSI) GetProcAddress( GetModuleHandle("ntdll.dll"), "NtQuerySystemInformation" ); if (!NtQuerySystemInformation) { return 0; } status = NtQuerySystemInformation( // 获取系统处理器位数 SystemBasicInformation, &SysBaseInfo, sizeof(SysBaseInfo), NULL ); if (status != NO_ERROR) //Error { return 0; } while (!bLoop) { status = NtQuerySystemInformation( // 获取新的系统时间 SystemTimeInformation, &SysTimeInfo, sizeof(SysTimeInfo), NULL ); if (status != NO_ERROR) //Error { return 0; } status = NtQuerySystemInformation( // 获取新的系统空闲时间 SystemPerformanceInformation, &SysPerfInfo, sizeof(SysPerfInfo), NULL ); if (status != NO_ERROR) { return 0; } if (liOldIdleTime.QuadPart != 0) // 第一次调用将被跳过 { dbIdleTime = Li2Double(SysPerfInfo.liIdleTime) - Li2Double(liOldIdleTime); dbSystemTime = Li2Double(SysTimeInfo.liKeSystemTime) - Li2Double(liOldSystemTime); dbIdleTime = dbIdleTime / dbSystemTime; // 当前CPU空闲＝空闲时间/系统时间 dbIdleTime = 100.0 - dbIdleTime * 100.0 / (double)SysBaseInfo.bKeNumberProcessors + 0.5; uRet = (UINT)dbIdleTime; bLoop = TRUE; //执行一次返回 } //存储CPU空闲时间和系统时间 liOldIdleTime = SysPerfInfo.liIdleTime; liOldSystemTime = SysTimeInfo.liKeSystemTime; Sleep(1000); } return uRet; //返回总的CPU占用情况}GetPriorityClass(hProcess);//获取进程的优先权；GetProcessIoCounters(hProcess,&IoCounters)；//获取进程的IO使用情况；CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, dwProcessID);//创建模块快照；Module32First(hModuleSnap, &ModuleEntry32)；Module32Next(hModuleSnap, &ModuleEntry32)；//枚举进程模块信息；CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);//创建线程快照；Thread32First(hThreadSnap, &ThreadEntry32)；Thread32Next(hThreadSnap, &ThreadEntry32)；//枚举线程信息；OpenThread(THREAD_ALL_ACCESS,FALSE,ThreadEntry32.th32ThreadID);//打开线程，须自己获得此函数地址；TerminateProcess(hProcess,0)；//终止进程；SuspendThread(hThread);//悬挂线程；ResumeThread(hThread);//激活线程；10.关机AdjustTokenPrivileges(hToken,FALSE,&TokenPrivileges,sizeof(TOKEN_PRIVILEGES),NULL,NULL);//调整进程令牌，使其支持关机；ExitWindowsEx(EWX_LOGOFF,0)；//注销系统；#define __WINNT_WIN32 0x0500LockWorkStation()；//锁定系统；InitiateSystemShutdown(NULL,szMessage,dwTimeout,FALSE,bSig)；//支持到记时和消息显示的关机/重启；SetSystemPowerState(bSig,FALSE)；//系统休眠/冬眠；11.用户信息NetUserEnum(NULL,dwLevel,FILTER_NORMAL_ACCOUNT,(LPBYTE*)&pBuf,dwPrefMaxLen,&dwEntriesRead,&dwTotalEntries,&dwResumeHandle);//枚举系统用户信息；NetUserDel(NULL,lpUserNameW)；//删除指定用户；12.系统版本信息GetVersionEx((LPOSVERSIONINFO)&osviex)；//获取*作系统的版本信息；我们也可以通过注册表(HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion)获取相关信息：GetTickCount();//获取开机时间；GetComputerName(szInfo,&dwInfo);//获取计算机名称；GetUserName(szInfo,&dwInfo);//获取计算机用户名；GetWindowsDirectory(szInfo,MAX_PATH+1);//获取Windows目录；GetSystemDirectory(szInfo,MAX_PATH+1);//获取系统目录；小结：虽然我们现在已经实现了任务管理器的各项功能，甚至比Windows自带的功能还要强大，不过却没有什么兴奋的感觉。因为看看我们的代码，您就会发现那些都是直接调用的Win32API函数，但是我们清楚系统底层究竟是怎么实现的吗？不管我们是否只是为了实现一个功能，还是对*作系统感兴趣，我们都应该更多的对系统底层进行研究，而不仅仅是只会使用高层函数的程序员。虽然微软为我们隐藏了很多的内部细节，但正是这种底层的秘密激发了我们对其进行深入研究的兴趣和动力。2006-12-18 08:00 作者： 出处： blog 责任编辑：方舟
