[發明專利]一種用于枚舉系統進程的方法及裝置

無效

• 申請號: 201210359817.9
• 申請日: 2012-09-25
• 公開（公告）號: CN102867139A
• 公開（公告）日: 2013-01-09
• 發明（設計）人: 張輝
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/50
• 分類號: G06F21/50
• 代理公司: 北京市德權律師事務所 11302
• 代理人: 劉杰

1.一種用于枚舉系統進程的方法，其特征在于，包括：

獲取系統進程和線程對象句柄表；

遍歷所述系統進程和線程對象句柄表中進程對象體指針指向的進程對象，獲得系統的進程；

集合所獲得的所有進程，形成系統進程集合。

2.根據權利要求1所述的用于枚舉系統進程的方法，其特征在于，所述獲取系統進程和線程對象句柄表包括：

獲取內核進程控制區域地址；

將內核進程控制區域地址偏移固定的步長獲取系統進程和線程對象句柄表地址；

根據其地址獲取系統進程和線程對象句柄表。

3.根據權利要求1所述的用于枚舉系統進程的方法，其特征在于，所述獲取系統進程和線程對象句柄表包括：通過系統進程和線程對象句柄表的函數中特征搜索定位系統進程和線程對象句柄表。

4.根據權利要求3所述的用于枚舉系統進程的方法，其特征在于，所述特征搜索的特征串包括0x35ff和0x8e。

5.根據權利要求1所述的用于枚舉系統進程的方法，其特征在于，所述遍歷所述系統進程和線程對象句柄表中進程對象體指針指向的進程對象包括：

在所述進程和線程對象句柄表中獲取所有對象體指針；

在所述所有對象體指針中獲取進程對象頭指針；

遍歷所述進程對象頭指針指向的進程對象，獲取所有進程。

6.根據權利要求5所述的用于枚舉系統進程的方法，其特征在于，所述

在所述進程和線程對象句柄表中獲取對象體指針包括：

獲取所述句柄表層數；

若獲取的句柄表層數為一層，按照固定的步長遍歷該層每一句柄表項，獲取每一句柄表項中的指向進程對象的對象體指針地址；

若獲取的句柄表層數大于一層，則首先指向句柄表最高層，由最高層按照固定步長遍歷該層每一句柄表項；并獲取每一句柄表項中的指向相鄰下層句柄表項的成員指針；重復執行遍歷每一層的句柄表項，直至最下層；并由該最下層的每一句柄表項中的指向進程對象的對象體指針地址；

由所述對象體指針地址獲取對象體指針。

7.根據權利要求5所述的用于枚舉系統進程的方法，其特征在于，所述在所述所有對象體指針中獲取進程對象頭指針包括：

由對象體指針偏移一定步長獲取相應的對象頭指針；

在所述對象頭指針中讀取其指針類型信息；

選出所有類型為進程的對象頭指針。

8.根據權利要求6所述的用于枚舉系統進程的方法，其特征在于，所述獲取所述句柄表層數包括：

讀取進程和線程對象句柄表中tablecode值的后兩位值；

根據所述后兩位值判斷句柄表層數。

9.根據權利要求6所述的用于枚舉系統進程的方法，其特征在于，所述所述首先指向句柄表最高層包括：

獲取句柄表中TableCode指針；

將所述TableCode指針定位到句柄表最高層。

10.根據權利要求7所述的用于枚舉系統進程的方法，其特征在于，所述選出所有類型為進程的對象頭指針包括：

選取當前任一進程，并取得其對象體指針；

由該當前進程的對象體指針偏移獲取其對象頭指針；

在該對象頭指針中讀取其指針類型信息；

選取所有與所述指針類型信息相同的對象頭指針。

11.根據權利要求1所述的用于枚舉系統進程的方法，其特征在于還包括：對于所述獲得系統的進程中的至少一個進程，按照該進程所在的SessionProcessLinks鏈表再做遍歷，并將獲得的進程表與所述獲得系統的進程集合合并。

12.根據權利要求1所述的用于枚舉系統進程的方法，其特征在于還包括：對于所述獲得系統的進程中的至少一個進程，按照該進程所在Vm.WorkingSetExpansionLinks鏈表再做遍歷，并將獲得的進程表與所述獲得系統的進程集合合并。